Является ли защита CSRF по умолчанию Rails небезопасной?

Question

По умолчанию защита сообщения CSRF формы в Rails создает токен аутентификации для пользователя, который изменяется только при изменении сеанса пользователя. Один из наших клиентов проверил аудит безопасности нашего сайта и отметил, что это проблема.

Заявление аудитора состояло в том, что если бы у нас также была уязвимость XSS, которую злоумышленник мог бы захватить токен аутентификации другого пользователя и использовать его для атак CSRF до истечения срока действия сеанса пользователя.

Но мне кажется, что если бы у нас была такая уязвимость XSS, злоумышленник мог так же легко захватить cookie сеанса другого пользователя и войти в систему как пользователь. Или даже просто звоните в наш REST Api из сценария, поскольку на него нападают пользователи. Возможность установки атаки CSRF в такой ситуации не кажется хуже, проблема заключается в уязвимости XSS.

Я что-то пропустил? Есть ли реальная проблема с защитой CSRF по умолчанию в Rails?

Answer 1

Вы совершенно правы. Защита, основанная на токенах CSRF, является наиболее распространенной и до тех пор, пока вы тестируете приложение для XSS, все должно быть в порядке.

Есть случаи, когда CSRF можно остановить, независимо от XSS. Например, для вашего форума смены пароля требуется, чтобы они знали текущий пароль. Хакер не сможет подделать этот запрос, если он не знает текущий пароль, спорный вопрос.

Другой метод - потребовать, чтобы Captcha решался для этого запроса. Я рекомендую использовать reCapthca.