CSK-токен необхідний при використанні автентифікації без громадянства (= без сесії)?

Чи потрібно використовувати захист CSRF, коли програма покладається на автентифікацію без стану (використовуючи щось на зразок HMAC)?

Приклад:

• У нас є один додаток сторінки ( в іншому випадку ми повинні додати маркер на кожному посиланні: <a href="...?token=xyz">...</a>.

• Користувач аутентифікує себе за допомогою POST /auth. Після успішної аутентифікації сервер поверне деякий маркер.

• Маркер буде зберігатися через JavaScript в деякій змінній всередині додатка на одній сторінці.

• Цей маркер буде використовуватися для доступу до таких обмежених URL-адрес /admin.

• Маркер завжди передаватиметься в заголовки HTTP.

• НЕ Http сесії, а також немає файлів cookie.

Наскільки я розумію, не повинно бути (?!) можливості використовувати міжміські атаки, оскільки браузер не зберігатиме маркер, а значить, не може автоматично надсилати його на сервер (ось що буде при використанні файлів cookie / Сесія).

Я щось пропускаю?

Я знайшов деяку інформацію про CSRF +, не використовуючи файли cookie для аутентифікації:

1. https://auth0.com/blog/2014/01/07/angularjs-authentication-with-cookies-vs-token/
   "оскільки ви не покладаєтесь на файли cookie, вам не потрібно захищати від запитів між веб-сайтами"

2. http://angular-tips.com/blog/2014/05/json-web-tokens-introduction/
   "Якщо ми підемо вниз по шляху cookie, вам дійсно потрібно зробити CSRF, щоб уникнути перехресних запитів на сайт. Це те, що ми можемо забудь, коли ти будеш бачити JWT. "
   (JWT = Json Web Token, аутентифікація на основі токена для додатків без стану)

3. http://www.jamesward.com/2013/05/13/securing-single-page-apps-and-rest-services
   "Найпростіший спосіб зробити аутентифікацію без ризику вразливості CSRF - просто уникати використання файлів cookie для ідентифікації користувача "

4. http://sitr.us/2011/08/26/cookies-are-bad-for-you.html
   "Найбільша проблема CSRF полягає в тому, що файли cookie абсолютно не захищають від цього типу атаки. Якщо ви використовуєте автентифікацію файлів cookie Ви також повинні застосувати додаткові заходи для захисту від CSRF. Найголовніша обережність, яку Ви можете вжити, - це переконатися, що Ваша заявка ніколи не виконує жодних побічних ефектів у відповідь на GET-запити. "

Існує набагато більше сторінок, де зазначено, що вам не потрібен захист CSRF, якщо ви не використовуєте файли cookie для автентифікації. Звичайно, ви все одно можете використовувати файли cookie для всього іншого, але уникайте зберігання нічого подібного session_idвсередині нього.

Якщо вам потрібно запам'ятати користувача, є два варіанти:

1. localStorage: Магазин ключових значень браузера. Збережені дані будуть доступні навіть після того, як користувач закриє вікно браузера. Дані не доступні для інших веб-сайтів, оскільки кожен сайт отримує власне сховище.

2. sessionStorage: Також у сховищі даних браузера. Різниця полягає в тому, що дані видаляються, коли користувач закриває вікно браузера. Але це все-таки корисно, якщо ваш веб-сайт складається з декількох сторінок. Тож ви можете зробити наступне:

   • Користувач входить у систему, потім ви зберігаєте маркер у sessionStorage
   • Користувач натискає на посилання, яке завантажує нову сторінку (= реальне посилання та не замінює вміст javascript)
   • Ви все одно можете отримати доступ до маркера з sessionStorage
   • Щоб вийти з системи, ви можете видалити маркер вручну sessionStorageабо зачекати, коли користувач закриє вікно браузера, яке очистить усі збережені дані.

(для обох дивіться тут: http://www.w3schools.com/html/html5_webstorage.asp )

Чи існують офіційні стандарти для аутентифікації маркера?

JWT (Json Web Token): Я думаю, що це ще проект, але його вже використовують багато людей, і концепція виглядає простою та безпечною. (IETF: http://tools.ietf.org/html/draft-ietf-oauth-json-web-token-25 )
Також є бібліотеки для фреймворку лотів. Просто Google для цього!

TL; DR

JWT, якщо використовується без файлів cookie, заперечує необхідність маркер CSRF - АЛЕ! зберігаючи JWT у сесії / localStorage, викрийте свій JWT та ідентифікацію користувача, якщо ваш сайт має вразливість XSS (досить поширене). Краще додати csrfTokenключ до JWT та зберігати JWT у файлі cookie з набором secureта http-onlyатрибутами.

Прочитайте цю статтю з хорошим описом для отримання додаткової інформації https://stormpath.com/blog/where-to-store-your-jwts-cookies-vs-html5-web-storage

Ви можете зробити цей захист CSRF без стану, включивши заявку XsrfToken JWT:

{ "iss": "http://galaxies.com", "exp": 1300819380, "scopes": ["explorer", "solar-harvester", "seller"], "sub": "tom@andromeda.com", "xsrfToken": "d9b9714c-7ac0-42e0-8696-2dae95dbc33e" }

Таким чином, вам потрібно буде зберігати csrfToken в localStorage / sessionStorage, а також у самому JWT (який зберігається у файлі cookie, призначеному лише для http). Потім для захисту csrf переконайтеся, що маркер csrf у JWT відповідає поданому заголовку csrf-token.