Kuidas vältida saidiülest võltsimist?

Saidiülene võltsing (XSRF või CSRF), mida tuntakse ka erinevate nimede all, sealhulgas saidiülene päringu võltsimine, seansisõit ja ühe klõpsuga rünnak, on veebisaidi ärakasutamise tüüp, mida on keeruline ära hoida. See toimib, meelitades veebibrauserit kaugserverisse volitamata käske saatma. Saididevahelised võltsimise rünnakud toimivad ainult kasutajate vastu, kes on autentsete mandaatidega veebisaitidele sisse loginud; selle tulemusena võib veebisaitidelt väljalogimine olla lihtne ja tõhus ennetav meede. Veebiarendajad saavad seda tüüpi rünnakute vältimiseks kasutada juhuslikult loodud märke, kuid nad peaksid vältima viitaja kontrollimist või küpsistele tuginemist.

On tavaline, et saidiülesed võltsimised sihivad veebibrausereid nn segaduses asetäitja rünnakuna. Uskudes, et ta tegutseb kasutaja nimel, meelitatakse brauserit kaugserverisse volitamata käske saatma. Need käsud võivad olla peidetud veebilehe märgistuskoodi näiliselt süütute osade sisse, mis tähendab, et brauser, mis üritab pildifaili alla laadida, võib tegelikult saata käske pangale, Interneti-jaemüüjale või suhtlusvõrgustiku saidile. Mõned brauserid sisaldavad nüüd meetmeid, mis on loodud saidiüleste võltsimise rünnakute vältimiseks, ja kolmanda osapoole programmeerijad on loonud laiendusi või pistikprogramme, millel need meetmed puuduvad. Samuti võib olla hea mõte eelistatud kliendis HyperText Markup Language (HTML) e-kirjad välja lülitada, kuna need programmid on haavatavad ka saidiüleste võltsimise rünnakute suhtes.

Kuna saidiülesed võltsimise rünnakud tuginevad kasutajatele, kes on veebisaidile seaduslikult sisse loginud. Seda silmas pidades on üks lihtsamaid viise sellise rünnaku ärahoidmiseks lihtsalt välja logida saitidelt, mille kasutamise olete lõpetanud. Paljud tundlike andmetega tegelevad saidid, sealhulgas pangad ja maaklerfirmad, teevad seda automaatselt pärast teatud tegevusetusperioodi. Teised saidid kasutavad vastupidist lähenemist ja võimaldavad kasutajatel päevi või nädalaid püsivalt sisse logida. Kuigi see võib teile tunduda mugav, pakub see teid CSRF-i rünnakutele. Otsige üles valik “Jäta mind selles arvutis meelde” või “Hoia mind sisse logituna” ja keelake see ning klõpsake seansi lõpetamisel kindlasti väljalogimise lingil.

Veebiarendajate jaoks võib saidiülese võltsimise haavatavuste kõrvaldamine olla eriti keeruline ülesanne. Viitaja ja küpsise teabe kontrollimine ei paku erilist kaitset, kuna CSRF-i ärakasutamine kasutab ära legitiimseid kasutajamandaate ja seda teavet on lihtne võltsida. Parem lähenemine oleks genereerida juhuslikult ühekordselt kasutatav luba iga kord, kui kasutaja sisse logib, ja nõuda, et luba kaasataks igale kasutaja saadetud päringule. Oluliste taotluste (nt ostude või rahaülekannete) puhul võib kasutajanime ja parooli uuesti sisestamise nõue aidata tagada päringu autentsuse.