Quadro di protezione CSRF

Oltre al filtro Apache Sling Referrer, Adobe fornisce un nuovo quadro di protezione CSRF per la protezione contro questo tipo di attacchi.

Il framework utilizza i token per garantire che la richiesta del cliente sia legittima. I token vengono generati quando il modulo viene inviato al client e convalidato al momento del ritorno del modulo al server.

Nota

Nelle istanze pubblicate non sono presenti token per gli utenti anonimi.

Requisiti

Dipendenze

Qualsiasi componente che si basa sulla granite.jquery dipendenza beneficerà automaticamente del CSRF Protection Framework. Se questo non è il caso di uno dei componenti, è necessario dichiarare una dipendenza per granite.csrf.standalone poter utilizzare il framework.

Replica della chiave di crittografia

Per poter utilizzare i token, è necessario replicare il /etc/keys/hmac binario a tutte le istanze nella distribuzione. Un modo pratico per copiare la chiave HMAC in tutte le istanze consiste nel creare un pacchetto contenente la chiave e installarlo tramite Gestione pacchetti in tutte le istanze.

Nota

Per utilizzare CSRF Protection Framework, è inoltre necessario apportare le modifiche necessarie alla configurazione del dispatcher.

Nota

Se utilizzate la cache del manifesto con l’applicazione Web, accertatevi di aggiungere "*" al manifesto per assicurarvi che il token non porti offline la chiamata di generazione del token CSRF. Per ulteriori informazioni, consulta questo collegamento.

Per ulteriori informazioni sugli attacchi CSRF e sui modi per attenuarli, consultate la pagina OWASP sulla richiestaintersito.

In questa pagina