URLにトークンを公開するTomcat CSRFフィルタを使用しても安全ですか？

Question

Tomcatは、URLにトークンを付加するCSRFフィルタをサポートしています。これはトークンを公開していませんか？これは安全な解決策ではないようです。私は正しいですか？

Answer 1

CSRF攻撃は、サーバーからクライアントへのトラフィックを傍受しません。これは、クライアント上の資格情報をピギーバックし、サーバーにメッセージを送信します。 CSRFトークンの

通常の使用：

1. サーバはCSRFトークンを生成し、それをクライアントに送信します。
2. クライアントはURLの一部として（クッキー/パラメータではなく）CSRFトークンを受け取ります。
3. クライアントは、CSRFを使用して要求を返します。 CSRF攻撃で

：

1. 攻撃者は、偽造ウェブサイトで偽造要求を生成します。これにはCSRFキーが付いていません。
2. クライアントは、偽造されたWebサイトを通じて偽造要求を開始します。
3. CSRFキーが攻撃者によって認識されず、要求を提供しなかったため、要求がサーバーで失敗します。

CSRF攻撃の攻撃者は、外部サイトからの応答を偽造するだけで、要求/応答を傍受してはいけません。攻撃者がCSRFキーを傍受している場合、攻撃者はクロスサイト攻撃ではありません。

仲介者がCSRFトークンを見ることができるのは、仲介攻撃を止めるように設計されていないためです。