Ypatybė SameSite
Pradedant nuo "Chrome 51", naršyklės slapukuose buvo pridėtas naujas "SameSite" atributas, siekiant užkirsti kelią CSRF atakoms ir naudotojų stebėjimui (kenkėjiškas trečiųjų šalių slapukų įsigijimas) ir apriboti trečiųjų šalių slapukus, taip sumažinant saugumo riziką.
SameSite apibrėžta RFC6265bis:Hipersaito prisijungimas matomas.
Apie CSRF ataka Apibendrinimas:
Ypatybę SameSite galima nustatyti į tris reikšmes:Griežtas、Laisvas、Nėra。
Griežtas: Griežtai uždrausti trečiosioms šalims gauti slapukus ir jokiomis aplinkybėmis nesiųsti slapukų, kai keliaujate į kitą svetainę; Slapukai bus įtraukti tik tuo atveju, jei dabartinio puslapio URL atitiks užklausos tikslą. Ši taisyklė yra per griežta ir gali sukelti labai blogą vartotojo patirtį. Pavyzdžiui, jei dabartiniame tinklalapyje yra "GitHub" nuoroda, vartotojai neturės "GitHub" slapukų, kai spustelės šuolį, o šuolis visada buvo atjungtas.
Lax: Užkirsti kelią kryžminėms svetainėms, daugeliu atvejų draudžiama gauti slapukus, išskyrus GET užklausas (nuorodas, išankstinius įkėlimus, GET formas), kurios nukreipia į paskirties URL; Nustačius griežtą arba atlaidų, CSRF atakos iš esmės pašalinamos. Žinoma, tai daroma su sąlyga, kad vartotojo naršyklė palaiko "SameSite" nuosavybę.
SameSite atributasNumatytasis SameSite=Lax[Ši operacija taikoma versijoms po to, kai "Google" išleis stabilią "Chrome 80" versiją 2019 m. vasario 4 d.]
Joks: Nėra jokių apribojimų.
Taip pat turi būti nustatytas atributas "Secure" (slapukai gali būti siunčiami tik per HTTPS protokolą), kitaip jis negalios. [Ši operacija taikoma versijoms po to, kai "Google" išleis stabilią "Chrome 80" versiją 2019 m. vasario 4 d.]
Patikrinkite ypatybę SameSite
Mes dinamiškai įkeliame svetainės A paveikslėlį per F12 konsolę svetainėje A, kodas yra toks:
Iš tinklo užklausos matome, kad kai svetainė A prašo svetainės A domeno vardo vaizdo, ji busNešiokite sausainius(SameSite neturi nustatymų, ty Lax), kaip parodyta paveikslėlyje žemiau:
Atsitiktinai randame B svetainę, tada dinamiškai įkeliame A svetainės paveikslėlį ir jį randameNenešiojamasBet koks slapukas, kaip parodyta toliau:
(Pabaiga)
|
Paskelbta 2022-4-17 20:24:47
|
|
|
|
Publikuota: 2022-4-17 21:20:07