Subdomain iṣakoso ko da CSRF duro: ayẹwo mẹrin ṣaaju ifilọlẹ

Gbigbe wiwo iṣakoso lọ si admin.example.com jẹ ilọsiwaju gidi: o tọju awọn kuki iṣakoso kuro ni awọn oju-iwe gbangba, o fun awọn ohun elo mejeeji ni kaṣe lọtọ ati pe o gba ọ laaye lati darí eto imulo nẹtiwọọki ti o le koko si orukọ agbalejo kan. Ṣugbọn kii ṣe iṣakoso CSRF, ati pe ko jẹ ki koodu aaye gbangba ni aabo lati fi silẹ ni ṣiṣi niwaju alabojuto ti o wọle. Pipin naa yipada ohun ti ẹrọ lilọ kiri ka si aala, kii ṣe ohun ti olupin ṣayẹwo, nitorina ṣe awọn ayẹwo mẹrin wọnyi ṣaaju ki o sọ pe o ti pari.

Ka orisun ati aaye bi ọrọ meji ti o yatọ

Orisun jẹ ero, agbalejo ati ibudo, nitorina https://www.example.com ati https://admin.example.com jẹ orisun oriṣiriṣi. Aaye ni itumọ SameSite jẹ ero pẹlu agbegbe ti o le forukọsilẹ, nitorina awọn orukọ agbalejo mejeeji nigbagbogbo jẹ aaye kanna. Iyatọ yẹn ni gbogbo idẹkùn: ẹya SameSite kii yoo ran ọ lọwọ laarin awọn subdomain arabinrin, nitori ẹrọ lilọ kiri ko ka ibeere naa si bi o ti kọja aaye rara. Darí wiwo iṣakoso si agbegbe ti o le forukọsilẹ ti o yatọ gidi, bii admin-example.net, lẹhinna ibeere naa di ẹni ti o kọja aaye gidi, ati nibẹ ni SameSite=Lax tabi Strict ti bẹrẹ ṣiṣe iṣẹ ti o le gbẹkẹle.

Dan wo ninu ẹrọ lilọ kiri dipo rironu nipa rẹ.

Gbe aaye gbangba wọle, ṣii awọn irinṣẹ olupilẹṣẹ ki o wo iru awọn kuki ti ẹrọ lilọ kiri so mọ ibeere ti o lọ si agbalejo iṣakoso. Ti kuki ko ba ni ẹya Domain, o jẹ ti agbalejo nikan ati pe o wa lori orukọ tirẹ; ti o ba gbe Domain=example.com, o lọ si gbogbo arabinrin, ati subdomain tuntun ko fun ọ ni nkankan fun kuki yẹn.

Ya kika idahun kuro lati fifiranṣẹ ibeere

Ilana orisun kanna ṣe idiwọ kika awọn idahun laarin awọn orisun. Ko da fifiranṣẹ ibeere duro, ko si ṣe idiwọ fun fọọmu lati gbe awọn ẹri ti ẹrọ lilọ kiri ti ni tẹlẹ. Ibeere ti o rọrun, pẹlu iru akoonu fọọmu tabi GET lasan, ni a fi jiṣẹ laisi ayẹwo iṣaaju; lẹhinna CORS pinnu boya iwe afọwọkọ ti n pe le ka idahun naa. CSRF n gbe patapata ni ẹgbẹ fifiranṣẹ.

Nitorina olupin nilo ayẹwo ti o han gbangba fun awọn iṣẹ ti o yipada ipo. Tokini imuṣiṣẹpọ ti o so mọ igba kan, tabi kuki fifiranṣẹ lẹmeji ti a ṣe afiwe lori olupin, bo ọran naa; afiwe Origin tabi Referer tọ lati ṣafikun bi ẹnu-ọna keji ṣugbọn kii ṣe ọkan nikan, nitori kii ṣe gbogbo ibeere ni o gbe ori-ọrọ yẹn ati kii ṣe gbogbo proxy ni o tọju rẹ. Itọsọna OWASP fun idena CSRF ka SameSite si bii ipele kan laarin pupọ, fun idi eyi gan-an.

Pinnu ohun ti ẹnu-ọna nẹtiwọọki n fi han gidi

Akojọ igbanilaaye awọn ijade VPN niwaju agbalejo iṣakoso jẹ iṣakoso to dara ati ẹtọ idanimọ ti ko lagbara. O fi han pe ibeere wa lati adirẹsi ti VPN fun, eyi ti gbogbo eniyan ni ijade yẹn le pin, ko si sọ nkankan nipa eniyan tabi ẹrọ ti o wa lẹhin rẹ. Tọju rẹ bi àlẹmọ iwọle, kii ṣe bi ijẹrisi.

Jẹ ki o ni ominira lati awọn ayẹwo ipele ibeere. Ti akojọ ba jẹ ohun kan ṣoṣo laarin olugbogun ati aaye ipari ti o yipada ipo, ipa-ọna kan ti a ṣeto ni aṣiṣe, alabara split-tunnel kan tabi laptop kan ti a ya yoo yọ iṣakoso kuro patapata.

Ṣe igbasilẹ awọn ijusile lati ita awọn sakani ti a nireti. Ìgbàlẹ wọn jẹ ami ti o wulo julọ pe ẹnikan n ṣawari aala ti o ṣẹda, ati ipalọlọ jẹ ami pe àlẹmọ ko de ọdọ rẹ rara.

Tọju awọn kuki, iwọle ati aṣẹ ni gbangba

Iwọn kuki pinnu pupọ julọ abajade. Kuki agbegbe obi ni a fi ranṣẹ si agbalejo iṣakoso, nitorina fifi iwe afọwọkọ kun lori aaye gbangba le ṣiṣẹ pẹlu igba alabojuto; kuki fun agbalejo nikan ko le. Yan fọọmu fun agbalejo nikan, ṣafikun ẹya Secure ki o lo ìṣáájú __Host- nibiti pẹpẹ ṣe atilẹyin, nitori ìṣáájú yẹn nilo Secure, Path=/ ati laisi ẹya Domain. Ka ori-ọrọ idahun kii ṣe ikoko kuki: Set-Cookie: __Host-admin_session=...; Secure; Path=/; HttpOnly; SameSite=Lax, laisi ẹya Domain. Ẹrọ lilọ kiri nu kuki __Host- ti o gbe Domain kuro, nitorina kuki ti o tun han lori awọn agbalejo arabinrin jẹ ẹri pe a ko lo ìṣáájú naa rara.

Lẹhinna tọju aṣẹ lori olupin, fun gbogbo ibeere, ni gbogbo aaye ipari iṣakoso, kii ṣe nikan nigba iwọle. Ibeere lati nẹtiwọọki ti a gba laaye gbọdọ tun jẹ ijẹrisi ati fun ni aṣẹ fun iṣẹ ti o beere; orukọ agbalejo kii ṣe oludase. Ti awọn ohun elo gbangba ati iṣakoso ba pin ṣiṣan iwọle tabi ibi ipamọ igba, kọ ibasepọ yẹn silẹ, nitori o jẹ ọna ti o kuru julọ lati aṣiṣe lori aaye gbangba si iṣe iṣakoso.

Ṣayẹwo aala lẹẹkansi lẹhin pipin

Ṣiṣe awọn idanwo odi, kii ṣe ọna idunnu nikan: fọọmu ti o kọja aaye laisi tokini gbọdọ jẹ kọ, tokini lati igba miiran gbọdọ jẹ kọ, ati pe ko si GET ti o yipada ipo. Ṣayẹwo awọn ẹya kuki ninu awọn irinṣẹ olupilẹṣẹ, jẹrisi pe ayẹwo Origin n tan lori ibeere ti ko baamu, ki o dan agbalejo iṣakoso lati ita sakani VPN lati ri àlẹmọ naa n ṣiṣẹ.

Ko si ọkan ninu awọn wọnyi ti o yọ abawọn XSS kuro ninu ohun elo iṣakoso funrararẹ. Orukọ agbalejo lọtọ jẹ aala ipinya ni ẹgbẹ ẹrọ lilọ kiri pẹlu iye gidi, ati pe kii ṣe aropo fun idena ipaniyan koodu ti ko ni aabo tabi fun idaabobo awọn ibeere ni ẹgbẹ olupin. Lẹhin pipin, akojọ naa kuru ju bi o ti dabi: orisun lọtọ, kuki fun agbalejo nikan, tokini ni gbogbo iyipada, àlẹmọ iwọle ti o ko gbẹkẹle bi idanimọ, ati aṣẹ ti a pinnu fun gbogbo ibeere.