Un WebView Android dannoso interrompe la contromisura DoubleSubmittCookie contro CSRF?

0

Situazione iniziale:

Un webservice RESTful difende dagli attacchi CSRF utilizzando l'approccio doppio del cookie di invio. Ciò significa che il token di autenticazione viene inviato due volte e verificato sul lato del servizio.

Problema / minaccia per la sicurezza:

L'elemento WebView delle piattaforme Android e iOS consente di creare un browser Web dannoso che rivela e modifica i cookie di sessione. webView.loadUrl("javascript:document.cookie=’’;"); . Se l'aggressore ha già capito, come appare il doppio cookie inviato (in questo caso è AuthenticationToken) è in grado di creare un RESTBrowser malevolo. Pertanto aggiunge il già noto CSRFToken al modello di oggetto documento e quindi ignora la contromisura CSRF. È così giusto?

Prevenzioni possibili:

Finora non ho idea di come sia possibile impedire a un utente malintenzionato di creare e pubblicare applicazioni mobili dannose, nonché di impedire l'accesso al servizio tramite applicazioni mobili dannose. Conosco l'esistenza dell'intestazione User-Agent e il servizio può utilizzare queste informazioni per rifiutare richieste dagli altri rispetto a browser specifici. Ma sono sicuro che anche questa intestazione può essere manipolata all'interno di WebView.

Quali sono le contromisure efficaci adottate dalla CSRF nel contesto di applicazioni mobili dannose?

    
posta My-Name-Is 14.10.2013 - 01:43
fonte

1 risposta

3

È un'app. Può inviare al server tutti i cookie che desidera. Può salvare la password mentre l'utente la digita. Ha il controllo completo. Non hai più "difesa" contro di ciò che hai contro Mozilla Firefox o Google Chrome.

    
risposta data 03.12.2013 - 07:09
fonte

Leggi altre domande sui tag