En savoir plus sur le CSRF
Je ne comprends pas en quoi l'utilisation d'un "challenge token" ajoute une quelconque forme de prévention : quelle valeur comparer à quoi ?
De l'OWASP :
D'une manière générale, les développeurs n'ont besoin que Générez ce jeton une fois Session actuelle. Après initialisation La génération de ce token, dont la valeur est stocké en session et utilisé Pour chaque demande ultérieure, jusqu'à La session a expiré.
Si je comprends bien le processus, voici ce qui se passe.
Je me connecte à http://example.com et crée une session/cookie contenant ce jeton aléatoire. Chaque formulaire contient ensuite une entrée masquée qui contient également une valeur aléatoire de la session, qui est comparée à la session/cookie lors de la soumission du formulaire.
Mais qu’est-ce que cela peut accomplir ? Ne vous contentez-vous pas d'obtenir les données de session, de les insérer dans la page et de les comparer exactement aux mêmes données de session ? Cela ressemble à un raisonnement circulaire. Ces articles continuent de parler du respect d'une "politique de même origine", mais cela n'a aucun sens puisque toutes les attaques CSRF proviennent de l'utilisateur et incitent simplement l'utilisateur à faire quelque chose qu'il n'a pas l'intention de faire.
Existe-t-il d'autres options que l'ajout du jeton en tant que chaîne de requête à chaque URL ? Cela semble très laid et peu pratique, et rend plus difficile la création de favoris pour les utilisateurs.
