ochrana pred CSRF

crempa napsal(a):

Zdravim, zprovoznil jsem autorizaci uzivatelu pres Nette\Web\User a zajimalo by me zda a jak je vzhledem k vyuziti cookies resen utok typu CSRF.. nebo je nutne toto resit az aplikacne v ramci projektu?

Něco k XSRF a CSRF bylo psáno tady.

Dal by me pak jeste zajimalo zda muzu nejak dosahnout presmerovani na urcity presenter:action v pripade expirace prihlaseneho usera (tj. nejlepe zase k logovacimu formulari, ale jeste s hlaskou typu „z duvodu delsi necinnosti jste byl automaticky odhlasen“).

Klasicky jak je třeba v Akrabatu: buď ve startupu nebo v konkrétnějším action{Action} provedu kontrolu přihlášení:

/**
 * View Edit action method
 * @param string $id  identificator of page that has to be edited
 * @return void
 */
public function actionEdit($id)
{
	// somewhere before this code, for example in common ancestor, use this to store your current request:
	// $this->backlink = Environment::getApplication()->storeRequest();

	// user authentication
	$user = Environment::getUser();
	if (!$user->isAuthenticated()) $this->redirect(':Admin:Auth:login', $this->backlink);

	// if is user authenticated, continue ...
}

A k té hlášce: je otázka jak je uživatel odhlášen po nečinnosti – zůstane mu identita? Pokud ano, dalo by se to k tomu snad využít.

CSRF od Davida nativně: 941-rev-106-obrana-pred-cross-site-request-forgery-ve-formularich

Editoval Ola (29. 11. 2008 19:44)

netusite zda se kontroluje pri sezeni uzivatele zda nedoslo ke zmene prohlizece / ip adresy atd. ?

To že se uprostřed sezení změní IP adresa neznamená, že se jedná a útok. U některých poskytovatelů internetu (hlavně zahraničních) je změna IP adresy v rámci jednoho sezení běžná praxe.

On to říkal David na školení :) podle mě se to týká výchozí autentizace v Nette – bez cookies nepojede. Jak je na tom tahle metoda bezpečná v porovnání s ostatníma to nevím (tomu zrovna nekraluju), ale dělám teďkom úpravy na webu, kde je autentizace řešena přenašením tokenu a je to to tam naimplementované tak blbě, že pokud jsem přihlášený do administrace a pošlu ti URL, ty na ni vlezeš, tak jsi přihlášený taky :) …nechcu téhle firmě dělat špatnou reklamu, ale pokud jste někdy byli na abclinuxu, určitě jste si jejího názvu všimli.

crempa napsal(a):

Jinak jeste dotaz k dokumentaci.. lze nejak rozvest tvrzeni „Přihlašování vyžaduje u uživatele povolené cookies; jiná metoda přihlašování není bezpečná!“ ?

Spíš než přihlašování by tam mělo být sessions. Ty vyžadují cookies. Lze to sice změnit (přenášet session id přes URL), ale uděláte tím do aplikace bezpečnostní díru.

Diky za reakci,

na ty formulare jsem koukal a tam je reseni diky hidden celkem na snade, momentalne koumu jak by se to dalo implementovat i do odkazu, ale vzhledem k tomu, ze jsem jeste 100% nevstrebal router tak si nejsem uplne jistej… nejaka reseni pomoci foo parametru do routovani me sice napadla ale mam porad pocit, ze by to slo urcite mnohem elegantneji… :-)

Mam se to pokouset nejak dal „hackovat“ nebo myslis, ze se to v Nette objevi ? (popravde me to prijde jako celkem dulezita vlastnost..)

Jinak pouziti cookies je asi bez problemu, mel jsem za to ze byvaji casto vypnute, ale statistiky me presvedcily o opaku.. [vice zde]