SameSite-ominaisuus
Chrome 51:stä alkaen selaimen evästeisiin on lisätty uusi SameSite-attribuutti, joka estää CSRF-hyökkäykset ja käyttäjäseurannan (haitallinen kolmannen osapuolen evästeiden hankinta) sekä rajoittaa kolmannen osapuolen evästeitä, mikä vähentää turvallisuusriskejä.
SameSite määritelty RFC6265bis:ssä:Hyperlinkin kirjautuminen on näkyvissä.
Tietoa CSRF Attack -yhteenveto:
SameSite-ominaisuudelle voidaan asettaa kolme arvoa:Strict、Lax、None。
Tiukka: Kieltävät tiukasti kolmansia osapuolia saamasta evästeitä, eikä lähetä evästeitä missään olosuhteissa, kun ne ovat sivuilla; Evästeet sisällytetään vain, jos nykyisen sivun URL vastaa pyyntökohdetta. Tämä sääntö on liian tiukka ja voi aiheuttaa erittäin huonon käyttäjäkokemuksen. Esimerkiksi, jos nykyisellä verkkosivulla on GitHub-linkki, käyttäjillä ei ole GitHub-evästeitä hyppyn klikkaamisen yhteydessä, ja hyppy on aina ollut poiskirjautuneena.
Löysä: Estää sivustojen väliset yhteydet, useimmissa tapauksissa evästeiden hakeminen on kiellettyä, paitsi GET-pyynnöt (linkit, esilataukset, GET-lomakkeet), jotka ohjaavat kohde-URL-osoitteeseen; Kun Strict tai Lax on asetettu, CSRF-hyökkäykset käytännössä eliminoidaan. Tämä tietenkin edellyttää, että käyttäjän selain tukee SameSite-ominaisuutta.
SameSite-attribuuttiOletus SameSite=Lax[Tämä toimenpide koskee versioita sen jälkeen, kun Google on julkaissut Chrome 80:n vakaan version 4. helmikuuta 2019]
Ei lainkaan: Ei ole rajaa.
Secure-attribuutti täytyy myös asettaa (evästeitä voi lähettää vain HTTPS-protokollan kautta), muuten se ei ole kelvollinen. [Tämä toimenpide koskee versioita sen jälkeen, kun Google on julkaissut Chrome 80:n vakaan version 4. helmikuuta 2019]
Testaa SameSite-ominaisuutta
Lataamme dynaamisesti kuvan pisteestä A F12-konsolin kautta pisteessä A, koodi on seuraava:
Voimme nähdä verkkopyynnöstä, että kun sivusto A pyytää kuvaa sivuston A verkkotunnuksesta, seKanna keksejä(SameSite-sivustolla ei ole asetuksia, eli Lax), kuten alla olevassa kuvassa näkyy:
Löydämme satunnaisesti B-paikan ja lataamme sitten dynaamisesti A-sivuston kuvan ja löydämme senEi kantamistaMikä tahansa keksi, kuten alla on esitetty:
(Loppu)
|
Julkaistu 2022-4-17 20:24:47
|
|
|
|
Julkaistu 2022-4-17 klo 21:20:07