Non convinto sulla sicurezza di un token JWT Token + CSRF

Question

Non convinto sulla sicurezza di un token JWT Token + CSRF

#1 da (1 voti)

0

Supponiamo che abbia un'applicazione Web che utilizza token JWT e token CSRF nel suo schema di autenticazione. A quanto ho capito, funziona così:

Quando un utente effettua l'accesso, il client invia una richiesta di accesso.
Server imposta un token JWT firmato come cookie con Set-Cookie ... ;Secure ;httpOnly nella sua intestazione di risposta. Ciò impedisce gli attacchi XSS poiché il cookie non può essere letto da Javascript.
invia anche un token CSRF senza httpOnly impostato in modo che possa essere letto dal codice JavaScript.
Quando il cliente effettua richieste future, il cookie JWT verrà automaticamente inviato e il CSRF dovrà essere impostato nell'intestazione della richiesta. Questo dovrebbe prevenire gli attacchi CSRF dal momento che il cookie CSRF dovrà essere letto.

Quindi in breve abbiamo:

L'impostazione del token JWT con ;Secure;HttpOnly impedirà gli attacchi XSS.
Il fatto che il client imposti il cookie CSRF nell'intestazione della richiesta impedirà gli attacchi CSRF.

Ma cosa succede se un utente malintenzionato ottiene il token CSRF utilizzando XSS e lo imposta come intestazione per le richieste inviate da un sito Web dannoso con un exploit CSRF. Questo attacco è possibile? In tal caso, come potrei migliorare il mio schema di autenticazione?

Grazie in anticipo.

authentication jwt xss token csrf

posta EJC 30.11.2018 - 00:29

fonte

1 risposta

Leggi altre domande sui tag authentication jwt xss token csrf

Router vs router + sicurezza switch il valore di request.getHeader ("Host") può essere simulato?

score 1 · Answer 1

CSRF will have to be set in the request header.

Il token anti-CSRF verrà inviato nel corpo del messaggio di richiesta. Se esiste una vulnerabilità XSS e un utente malintenzionato riesce a sfruttarlo, l'ultima cosa di cui probabilmente si preoccuperà è il token anti-CSRF. XSS è un attacco molto più potente e un attaccante può manipolare quasi qualsiasi cosa con XSS.

Inoltre, il token anti-CSRF è memorizzato in un campo modulo nascosto nel codice html.

Esiste in modo che ogni richiesta sia associata a una sessione utente specifica. Esiste letteralmente per rendere CSRF impossibile, anche se il token perde in qualche modo. Un utente malintenzionato sarebbe in grado di manipolare solo la sessione attiva corrente di quel particolare utente da cui ha rubato il token anti-CSRF.

But what if an attacker gets your CSRF token using XSS and sets it as a header for requests sent by a malicious website with a CSRF exploit. Is this attack possible?

Il JWT sarebbe comunque protetto. Ti suggerisco di leggere come funziona CSRF: link