CSRF-Token bei Verwendung der zustandslosen (= sitzungslosen) Authentifizierung erforderlich?

Ist es erforderlich, CSRF-Schutz zu verwenden, wenn die Anwendung auf einer zustandslosen Authentifizierung basiert (unter Verwendung von HMAC)?

Beispiel:

• Wir haben eine App für eine einzelne Seite (andernfalls müssen wir das Token an jeden Link anhängen : <a href="...?token=xyz">...</a>.

• Der Benutzer authentifiziert sich mit POST /auth. Bei erfolgreicher Authentifizierung gibt der Server ein Token zurück.

• Das Token wird über JavaScript in einer Variablen in der Einzelseiten-App gespeichert.

• Dieses Token wird verwendet, um auf eingeschränkte URLs wie zuzugreifen /admin.

• Das Token wird immer in HTTP-Headern übertragen.

• Es gibt KEINE HTTP-Sitzung und KEINE Cookies.

Soweit ich weiß, sollte es (?!) Keine Möglichkeit geben, Cross-Site-Angriffe zu verwenden, da der Browser das Token nicht speichert und es daher nicht automatisch an den Server senden kann (dies würde bei der Verwendung von Cookies / passieren). Session).

Vermisse ich etwas

Ich habe einige Informationen zu CSRF + gefunden, bei denen keine Cookies zur Authentifizierung verwendet wurden:

1. https://auth0.com/blog/2014/01/07/angularjs-authentication-with-cookies-vs-token/
   "Da Sie sich nicht auf Cookies verlassen, müssen Sie sich nicht vor standortübergreifenden Anfragen schützen."

2. http://angular-tips.com/blog/2014/05/json-web-tokens-introduction/
   "Wenn wir Cookies verwenden, müssen Sie wirklich CSRF durchführen, um Cross-Site-Anfragen zu vermeiden. Das können wir Vergessen Sie bei der Verwendung von JWT, wie Sie sehen werden. "
   (JWT = Json Web Token, eine Token-basierte Authentifizierung für zustandslose Apps)

3. http://www.jamesward.com/2013/05/13/securing-single-page-apps-and-rest-services
   "Der einfachste Weg, eine Authentifizierung durchzuführen, ohne CSRF-Schwachstellen zu riskieren, besteht darin, die Verwendung von Cookies zur Identifizierung des Benutzers einfach zu vermeiden ""

4. http://sitr.us/2011/08/26/cookies-are-bad-for-you.html
   "Das größte Problem mit CSRF ist, dass Cookies absolut keinen Schutz gegen diese Art von Angriff bieten. Wenn Sie die Cookie-Authentifizierung verwenden Sie müssen auch zusätzliche Maßnahmen zum Schutz vor CSRF ergreifen. Die grundlegendste Vorsichtsmaßnahme, die Sie treffen können, besteht darin, sicherzustellen, dass Ihre Anwendung als Reaktion auf GET-Anforderungen niemals Nebenwirkungen aufweist. "

Es gibt viele weitere Seiten, auf denen angegeben wird, dass Sie keinen CSRF-Schutz benötigen, wenn Sie keine Cookies zur Authentifizierung verwenden. Natürlich können Sie weiterhin Cookies für alles andere verwenden, aber vermeiden Sie es, etwas darin zu speichern session_id.

Wenn Sie sich an den Benutzer erinnern müssen, gibt es zwei Möglichkeiten:

1. localStorage: Ein Schlüsselwertspeicher im Browser. Die gespeicherten Daten sind auch dann verfügbar, wenn der Benutzer das Browserfenster schließt. Auf die Daten können andere Websites nicht zugreifen, da jede Website einen eigenen Speicher erhält.

2. sessionStorage: Auch ein im Browser vorhandener Datenspeicher. Der Unterschied ist: Die Daten werden gelöscht, wenn der Benutzer das Browserfenster schließt. Es ist jedoch weiterhin nützlich, wenn Ihre Webanwendung aus mehreren Seiten besteht. Sie können also Folgendes tun:

   • Der Benutzer meldet sich an und speichert das Token sessionStorage
   • Der Benutzer klickt auf einen Link, der eine neue Seite lädt (= ein echter Link und kein Ersetzen von Javascript-Inhalten).
   • Sie können weiterhin von auf auf das Token zugreifen sessionStorage
   • Zum Abmelden können Sie das Token entweder manuell löschen sessionStorageoder warten, bis der Benutzer das Browserfenster schließt, in dem alle gespeicherten Daten gelöscht werden.

(für beide schauen Sie hier: http://www.w3schools.com/html/html5_webstorage.asp )

Gibt es offizielle Standards für die Tokenauthentifizierung?

JWT (Json Web Token): Ich denke, es ist immer noch ein Entwurf, aber er wird bereits von vielen Menschen verwendet und das Konzept sieht einfach und sicher aus. (IETF: http://tools.ietf.org/html/draft-ietf-oauth-json-web-token-25 )
Es gibt auch Bibliotheken für viele Frameworks. Google einfach dafür!

TL; DR

Wenn ein JWT ohne Cookies verwendet wird, ist kein CSRF-Token erforderlich - ABER! Indem Sie JWT in session / localStorage speichern, legen Sie Ihre JWT- und Benutzeridentität offen, wenn Ihre Site eine XSS-Sicherheitsanfälligkeit aufweist (ziemlich häufig). Es ist besser , einen hinzuzufügen csrfTokenSchlüssel zum JWT und speichern Sie die JWT in einem Cookie mit secureund http-onlyAttribute gesetzt.

Lesen Sie diesen Artikel mit einer guten Beschreibung für weitere Informationen https://stormpath.com/blog/where-to-store-your-jwts-cookies-vs-html5-web-storage

Sie können diesen CSRF-Schutz zustandslos machen, indem Sie einen xsrfToken JWT-Anspruch einfügen:

{ "iss": "http://galaxies.com", "exp": 1300819380, "scopes": ["explorer", "solar-harvester", "seller"], "sub": "[email protected]", "xsrfToken": "d9b9714c-7ac0-42e0-8696-2dae95dbc33e" }

Sie müssen das csrfToken also sowohl in localStorage / sessionStorage als auch im JWT selbst speichern (das in einem Nur-http-Cookie und einem sicheren Cookie gespeichert ist). Stellen Sie dann zum Schutz der CSRF sicher, dass das CSRF-Token im JWT mit dem übermittelten CSRF-Token-Header übereinstimmt.