ログオフ要求にXSRF/CSRFトークンが必要ですか？

Question

ログオフ要求がXSRF/CSRFトークンで検証されない場合のセキュリティ上の抜け穴は何ですか？

Answer 1

個々のエンドポイント/要求に実装されたメカニズムとしてAnti-CSRFトークンを考えないでください。理想的には、このような仕組みは、あなたが開発しているフレームワークの重要な一部として焼かれる。

アンアンチCSRF はここに私を心配するものではありませんログアウトリンク、上で冗長に見えるかもしれません。私が心配しているのは、Anti-CSRFのメカニズムを可能にする、あるいはむしろそれを強制するシステムを設計することです。

この文脈では、CSRFは良性に見えるかもしれません。しかし、ログアウトリンクが脆弱でXSSとは何が起こりますか？突然、Anti-CSRFトークンはもはやあなたを守るためのものではありません。

あなたのセキュリティをレイヤーでラップするという点で、必ずDefence in Depthを実行してください。その中にAnti-CSRFがあります。

Answer 2

OWASP A10と組み合わせることができます。攻撃者は、悪意のある場所を指し示すリターンURLも提供します。偽の "サインオン"ページでパスワードを盗むことができます。