Generazione di token CSRF senza utilizzare sessioni e cookie

Se il token non è legato a una particolare sessione o cookie, allora io (come attaccante) potrei scrivere uno script per raccogliere i token e incorporarli nelle mie pagine ospitate. Il token verrebbe quindi passato dal browser della vittima al tuo sito e verrebbe validato correttamente come è stato generato dal tuo server. (anche se è per l'utente sbagliato se questo ha senso.)

Discuterò con la risposta di ach_l, perché sono interessato anche alla protezione CSRF senza sessione:)

(If the token isn't tied to a particular session or cookie, then I (as an attacker) could write a script to harvest tokens, and embed them in my hosted pages. The token would then be passed by the victim's browser to your site and would validate correctly as it was generated by your server.)

Se i token sono firmati con la "chiave molto segreta" e l'userid, puoi raccoglierli, ma non saranno in grado di usarli, poiché quelli raccolti saranno diversi da quelli dell'utente reale sotto attacco. Quindi, anche se i timeout di sessione (e sessionid) (nel mio caso dopo 15 minuti), il token è associato all'utente e contiene un timestamp che può essere applicato (ad esempio dopo circa un giorno). Mi manca qualcosa?

I come utente malintenzionato invierà nuovamente i dati con lo stesso token entro n secondi. supponendo che n sia il tempo di expiary. Questo suona come un attacco di replay però. Tuttavia, posso modificare gli altri dati dei campi del modulo mantenendo i token uguali. come non hai