Защита CSRF в Tomcat

Question

Как предотвратить уязвимости CSRF в Tomcat?

Я использую сервер Tomcat для своего приложения, и мне нужно защитить свое приложение от атак CSRF. Есть ли какая-нибудь техника для этого?

Answer 1

Первый Tomcat; Докажите меня не так, но я думаю, что уязвимости CSRF в настоящее время не существуют для самого контейнера.

Если вы беспокоитесь о каких-либо других уязвимостях Tomcat, я бы предложил подписаться на некоторые списки рассылки по адресу SecurityFocus, в частности на BugTraq, и часто проверяйте Tomcat 5 Security page. И самая важная часть: Держите свой Tomcat исправленным и обновленным.


Что касается применения, это своего рода трудно сказать, как обезопасить свое приложение, не зная его или увидеть код, но here in the OWASP Wiki, есть некоторые genereal подходы, чтобы понять, избегать и испытаний против CSRF уязвимости.

Другим вариантом является раннее принятие Tomcat 7, в котором есть 'CSRF Prevention Filter'. Также есть парень, который хочет backport this to Tomcat 5/6.

Answer 2

Tomcat 7 и Tomcat 6.0.30 имеют встроенную защиту CSRF (вам необходимо активировать ее).

http://www.tomcatexpert.com/blog/2011/05/09/cross-site-request-forgery