🔒 Совпало — не значит безопасно

На связи CyberINS.

В наивной CSRF-защите Double Submit Cookie сервер сравнивает случайное значение в cookie со значением в параметре запроса. Совпало — принимает запрос. Выглядит убедительно, пока ты не спросишь: а кто мог записать эту cookie?

Вот подвох: подконтрольный атакующему поддомен может позволить ему подставить совпадающую cookie и подделать токен запроса. Поэтому OWASP рекомендует подписанный вариант с HMAC и привязкой к сессии. Просто добавить подпись недостаточно: без этой привязки остается уязвимость к подстановке cookie.

Я бы проверял не галочку «CSRF-токен есть», а его связь с текущей сессией. Подписать значение и привязать его к сессии — не одно и то же.

⏺ Разбор, на который опираюсь

#CSRF #AppSec // ❓ cyber in network security // max.ru/cyberins