Het CSRF-beschermingskader

Naast het filter Apache Sling Referrer biedt Adobe ook een nieuw CSRF-beschermingskader dat bescherming biedt tegen dit type aanvallen.

Het framework maakt gebruik van tokens om te garanderen dat het verzoek van de klant legitiem is. De tokens worden gegenereerd wanneer het formulier naar de client wordt verzonden en gevalideerd wanneer het formulier naar de server wordt teruggestuurd.

OPMERKING

De publicatie-instanties bevatten geen tokens voor anonieme gebruikers.

Vereisten

Afhankelijkheden

Om het even welke component die op granite.jquery gebiedsdeel baseert zal automatisch van het Kader van de Bescherming CSRF profiteren. Als dit niet het geval voor om het even welk van uw componenten is, moet u een gebiedsdeel aan granite.csrf.standalone verklaren alvorens u het kader kunt gebruiken.

De crypto-sleutel repliceren

Om van de tokens gebruik te maken, moet u /etc/keys/hmac binair aan alle instanties in uw plaatsing herhalen. Een handige manier om de HMAC-sleutel naar alle instanties te kopiëren, is door een pakket met de sleutel te maken en deze via Package Manager op alle instanties te installeren.

OPMERKING

Zorg ervoor u ook de noodzakelijke veranderingen van de de configuratieveranderingen van de Verzender aanbrengt om het Kader van de Bescherming te gebruiken CSRF.

OPMERKING

Als u het duidelijke geheime voorgeheugen met uw Webtoepassing gebruikt, zorg ervoor u "*"aan manifest toevoegt om ervoor te zorgen het teken niet de symbolische generatievraag CSRF offline neemt. Raadpleeg deze link voor meer informatie.

Voor meer informatie over aanvallen CSRF en manieren om hen te verlichten, zie de pagina van OWASP van het Verzoek van de Vervalsmachine van de Depositovergangen.