ਇਹ ਬਲੌਗ ਪੋਸਟ CSRF (ਕਰਾਸ-ਸਾਈਟ ਰਿਕਵੈਸਟ ਫੋਰਜਰੀ) ਹਮਲਿਆਂ ਦੀ ਜਾਂਚ ਕਰਦੀ ਹੈ, ਜੋ ਕਿ ਵੈੱਬ ਸੁਰੱਖਿਆ ਦਾ ਇੱਕ ਮਹੱਤਵਪੂਰਨ ਪਹਿਲੂ ਹੈ, ਅਤੇ ਉਹਨਾਂ ਤੋਂ ਬਚਾਅ ਲਈ ਵਰਤੀਆਂ ਜਾਂਦੀਆਂ ਤਕਨੀਕਾਂ ਹਨ। ਇਹ ਦੱਸਦਾ ਹੈ ਕਿ CSRF (ਕਰਾਸ-ਸਾਈਟ ਰਿਕਵੈਸਟ ਫੋਰਜਰੀ) ਕੀ ਹੈ, ਹਮਲੇ ਕਿਵੇਂ ਹੁੰਦੇ ਹਨ, ਅਤੇ ਉਹਨਾਂ ਦਾ ਕੀ ਕਾਰਨ ਬਣ ਸਕਦਾ ਹੈ। ਇਹ ਅਜਿਹੇ ਹਮਲਿਆਂ ਦੇ ਵਿਰੁੱਧ ਸਾਵਧਾਨੀਆਂ ਅਤੇ ਉਪਲਬਧ ਰੱਖਿਆਤਮਕ ਸਾਧਨਾਂ ਅਤੇ ਤਰੀਕਿਆਂ 'ਤੇ ਵੀ ਕੇਂਦ੍ਰਤ ਕਰਦਾ ਹੈ। ਪੋਸਟ CSRF (ਕਰਾਸ-ਸਾਈਟ ਰਿਕਵੈਸਟ ਫੋਰਜਰੀ) ਹਮਲਿਆਂ ਤੋਂ ਬਚਾਅ ਲਈ ਵਿਹਾਰਕ ਸੁਝਾਅ ਪੇਸ਼ ਕਰਦੀ ਹੈ ਅਤੇ ਮੌਜੂਦਾ ਅੰਕੜਿਆਂ ਦਾ ਹਵਾਲਾ ਦੇ ਕੇ ਵਿਸ਼ੇ ਦੀ ਮਹੱਤਤਾ ਨੂੰ ਉਜਾਗਰ ਕਰਦੀ ਹੈ। ਅੰਤ ਵਿੱਚ, ਪਾਠਕਾਂ ਨੂੰ ਇੱਕ ਵਿਆਪਕ ਗਾਈਡ ਪੇਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਜਿਸ ਵਿੱਚ CSRF (ਕਰਾਸ-ਸਾਈਟ ਰਿਕਵੈਸਟ ਫੋਰਜਰੀ) ਦਾ ਮੁਕਾਬਲਾ ਕਰਨ ਦੇ ਸਭ ਤੋਂ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਤਰੀਕੇ ਅਤੇ ਸੁਝਾਏ ਗਏ ਕਾਰਜ ਯੋਜਨਾਵਾਂ ਸ਼ਾਮਲ ਹਨ।

CSRF (ਕਰਾਸ-ਸਾਈਟ ਬੇਨਤੀ ਜਾਅਲਸਾਜ਼ੀ) ਕੀ ਹੈ?

CSRF (ਕਰਾਸ-ਸਾਈਟ ਬੇਨਤੀ ਜਾਅਲਸਾਜ਼ੀ)ਇੱਕ ਕਮਜ਼ੋਰੀ ਇੱਕ ਵੈੱਬ ਕਮਜ਼ੋਰੀ ਹੈ ਜੋ ਇੱਕ ਖਤਰਨਾਕ ਵੈੱਬਸਾਈਟ ਨੂੰ ਕਿਸੇ ਹੋਰ ਸਾਈਟ 'ਤੇ ਅਣਅਧਿਕਾਰਤ ਕਾਰਵਾਈਆਂ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ ਜਦੋਂ ਉਪਭੋਗਤਾ ਆਪਣੇ ਬ੍ਰਾਊਜ਼ਰ ਵਿੱਚ ਲੌਗਇਨ ਹੁੰਦਾ ਹੈ। ਪੀੜਤ ਦੀ ਪਛਾਣ ਵਜੋਂ ਅਣਅਧਿਕਾਰਤ ਬੇਨਤੀਆਂ ਭੇਜ ਕੇ, ਹਮਲਾਵਰ ਉਪਭੋਗਤਾ ਦੀ ਜਾਣਕਾਰੀ ਜਾਂ ਸਹਿਮਤੀ ਤੋਂ ਬਿਨਾਂ ਕਾਰਵਾਈਆਂ ਕਰ ਸਕਦਾ ਹੈ। ਉਦਾਹਰਣ ਵਜੋਂ, ਉਹ ਪੀੜਤ ਦਾ ਪਾਸਵਰਡ ਬਦਲ ਸਕਦੇ ਹਨ, ਫੰਡ ਟ੍ਰਾਂਸਫਰ ਕਰ ਸਕਦੇ ਹਨ, ਜਾਂ ਆਪਣਾ ਈਮੇਲ ਪਤਾ ਬਦਲ ਸਕਦੇ ਹਨ।

CSRF ਹਮਲੇ ਆਮ ਤੌਰ 'ਤੇ ਸੋਸ਼ਲ ਇੰਜੀਨੀਅਰਿੰਗ ਰਾਹੀਂ ਕੀਤੇ ਜਾਂਦੇ ਹਨ। ਹਮਲਾਵਰ ਪੀੜਤ ਨੂੰ ਇੱਕ ਖਤਰਨਾਕ ਲਿੰਕ 'ਤੇ ਕਲਿੱਕ ਕਰਨ ਜਾਂ ਇੱਕ ਖਤਰਨਾਕ ਵੈੱਬਸਾਈਟ 'ਤੇ ਜਾਣ ਲਈ ਮਨਾਉਂਦਾ ਹੈ। ਇਹ ਵੈੱਬਸਾਈਟ ਆਪਣੇ ਆਪ ਹੀ ਉਸ ਨਿਸ਼ਾਨਾਬੱਧ ਵੈੱਬਸਾਈਟ 'ਤੇ ਬੇਨਤੀਆਂ ਭੇਜਦੀ ਹੈ ਜਿਸ ਵਿੱਚ ਪੀੜਤ ਆਪਣੇ ਬ੍ਰਾਊਜ਼ਰ ਵਿੱਚ ਲੌਗਇਨ ਹੁੰਦਾ ਹੈ। ਬ੍ਰਾਊਜ਼ਰ ਆਪਣੇ ਆਪ ਹੀ ਇਹਨਾਂ ਬੇਨਤੀਆਂ ਨੂੰ ਨਿਸ਼ਾਨਾਬੱਧ ਸਾਈਟ 'ਤੇ ਭੇਜਦਾ ਹੈ, ਜੋ ਫਿਰ ਇਹ ਮੰਨਦਾ ਹੈ ਕਿ ਬੇਨਤੀ ਪੀੜਤ ਤੋਂ ਆਈ ਹੈ।

ਵਿਸ਼ੇਸ਼ਤਾ	ਵਿਆਖਿਆ	ਰੋਕਥਾਮ ਦੇ ਤਰੀਕੇ
ਪਰਿਭਾਸ਼ਾ	ਉਪਭੋਗਤਾ ਅਧਿਕਾਰ ਤੋਂ ਬਿਨਾਂ ਬੇਨਤੀਆਂ ਭੇਜਣਾ	CSRF ਟੋਕਨ, SameSite ਕੂਕੀਜ਼
ਟੀਚਾ	ਲੌਗ-ਇਨ ਕੀਤੇ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਨਿਸ਼ਾਨਾ ਬਣਾਉਂਦਾ ਹੈ	ਤਸਦੀਕ ਵਿਧੀਆਂ ਨੂੰ ਮਜ਼ਬੂਤ ਕਰਨਾ
ਨਤੀਜੇ	ਡਾਟਾ ਚੋਰੀ, ਅਣਅਧਿਕਾਰਤ ਲੈਣ-ਦੇਣ	ਇਨਪੁੱਟ ਅਤੇ ਆਉਟਪੁੱਟ ਫਿਲਟਰ ਕਰਨਾ
ਪ੍ਰਚਲਨ	ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨਾਂ ਵਿੱਚ ਇੱਕ ਆਮ ਕਮਜ਼ੋਰੀ	ਨਿਯਮਤ ਸੁਰੱਖਿਆ ਟੈਸਟ ਕਰਵਾਉਣਾ

CSRF ਦੇ ਹਮਲਿਆਂ ਤੋਂ ਬਚਾਅ ਲਈ ਕਈ ਉਪਾਅ ਕੀਤੇ ਜਾ ਸਕਦੇ ਹਨ। ਇਹਨਾਂ ਵਿੱਚ ਸ਼ਾਮਲ ਹਨ: CSRF ਟੋਕਨ ਵਰਤਣ ਲਈ, ਸੇਮਸਾਈਟ ਕੂਕੀਜ਼ ਅਤੇ ਮਹੱਤਵਪੂਰਨ ਕਾਰਵਾਈਆਂ ਲਈ ਉਪਭੋਗਤਾ ਤੋਂ ਵਾਧੂ ਤਸਦੀਕ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ। ਵੈੱਬ ਡਿਵੈਲਪਰਾਂ ਨੂੰ CSRF ਹਮਲਿਆਂ ਤੋਂ ਆਪਣੀਆਂ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੀ ਰੱਖਿਆ ਲਈ ਇਹਨਾਂ ਉਪਾਵਾਂ ਨੂੰ ਲਾਗੂ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ।

CSRF ਦੀਆਂ ਮੂਲ ਗੱਲਾਂ

• CSRF ਉਪਭੋਗਤਾ ਦੀ ਜਾਣਕਾਰੀ ਤੋਂ ਬਿਨਾਂ ਅਣਅਧਿਕਾਰਤ ਕਾਰਵਾਈਆਂ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ।
• ਹਮਲਾਵਰ ਪੀੜਤ ਦੀ ਪਛਾਣ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਬੇਨਤੀਆਂ ਭੇਜਦਾ ਹੈ।
• ਸੋਸ਼ਲ ਇੰਜੀਨੀਅਰਿੰਗ ਅਕਸਰ ਵਰਤੀ ਜਾਂਦੀ ਹੈ।
• CSRF ਟੋਕਨ ਅਤੇ SameSite ਕੂਕੀਜ਼ ਮਹੱਤਵਪੂਰਨ ਰੱਖਿਆ ਵਿਧੀਆਂ ਹਨ।
• ਵੈੱਬ ਡਿਵੈਲਪਰਾਂ ਨੂੰ ਆਪਣੀਆਂ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੀ ਸੁਰੱਖਿਆ ਲਈ ਸਾਵਧਾਨੀਆਂ ਵਰਤਣੀਆਂ ਚਾਹੀਦੀਆਂ ਹਨ।
• ਨਿਯਮਤ ਸੁਰੱਖਿਆ ਜਾਂਚ ਰਾਹੀਂ ਕਮਜ਼ੋਰੀਆਂ ਦਾ ਪਤਾ ਲਗਾਇਆ ਜਾ ਸਕਦਾ ਹੈ।

ਸੀਐਸਆਰਐਫਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨਾਂ ਲਈ ਇੱਕ ਗੰਭੀਰ ਖ਼ਤਰਾ ਹੈ, ਅਤੇ ਡਿਵੈਲਪਰਾਂ ਲਈ ਅਜਿਹੇ ਹਮਲਿਆਂ ਨੂੰ ਰੋਕਣ ਲਈ ਸਾਵਧਾਨੀਆਂ ਵਰਤਣੀਆਂ ਮਹੱਤਵਪੂਰਨ ਹਨ। ਉਪਭੋਗਤਾ ਸ਼ੱਕੀ ਲਿੰਕਾਂ 'ਤੇ ਕਲਿੱਕ ਕਰਨ ਤੋਂ ਬਚ ਕੇ ਅਤੇ ਭਰੋਸੇਯੋਗ ਵੈੱਬਸਾਈਟਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਵੀ ਆਪਣੀ ਰੱਖਿਆ ਕਰ ਸਕਦੇ ਹਨ।

ਸੀਐਸਆਰਐਫ ਹਮਲਿਆਂ ਦਾ ਸੰਖੇਪ ਜਾਣਕਾਰੀ

CSRF (ਕਰਾਸ-ਸਾਈਟ ਬੇਨਤੀ ਜਾਅਲਸਾਜ਼ੀ) ਹਮਲੇ ਇੱਕ ਖਤਰਨਾਕ ਵੈੱਬਸਾਈਟ ਨੂੰ ਉਪਭੋਗਤਾ ਦੇ ਬ੍ਰਾਊਜ਼ਰ ਵਿੱਚ ਲੌਗਇਨ ਕੀਤੀ ਕਿਸੇ ਹੋਰ ਵੈੱਬਸਾਈਟ 'ਤੇ ਕਾਰਵਾਈਆਂ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦੇ ਹਨ, ਉਪਭੋਗਤਾ ਦੀ ਜਾਣਕਾਰੀ ਜਾਂ ਸਹਿਮਤੀ ਤੋਂ ਬਿਨਾਂ। ਇਹ ਹਮਲੇ ਆਮ ਤੌਰ 'ਤੇ ਉਸ ਸਾਈਟ ਰਾਹੀਂ ਅਣਅਧਿਕਾਰਤ ਕਮਾਂਡਾਂ ਭੇਜ ਕੇ ਕੀਤੇ ਜਾਂਦੇ ਹਨ ਜਿਸ 'ਤੇ ਉਪਭੋਗਤਾ ਭਰੋਸਾ ਕਰਦਾ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਇੱਕ ਹਮਲਾਵਰ ਬੈਂਕਿੰਗ ਐਪ ਵਿੱਚ ਪੈਸੇ ਟ੍ਰਾਂਸਫਰ ਕਰਨ ਜਾਂ ਸੋਸ਼ਲ ਮੀਡੀਆ ਖਾਤੇ ਵਿੱਚ ਪੋਸਟ ਕਰਨ ਵਰਗੀਆਂ ਕਾਰਵਾਈਆਂ ਨੂੰ ਨਿਸ਼ਾਨਾ ਬਣਾ ਸਕਦਾ ਹੈ।

• CSRF ਹਮਲਿਆਂ ਦੀਆਂ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ
• ਇਹ ਇੱਕ ਕਲਿੱਕ ਨਾਲ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ।
• ਉਪਭੋਗਤਾ ਨੂੰ ਲੌਗਇਨ ਕਰਨ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ।
• ਹਮਲਾਵਰ ਸਿੱਧੇ ਤੌਰ 'ਤੇ ਉਪਭੋਗਤਾ ਦੇ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਤੱਕ ਪਹੁੰਚ ਨਹੀਂ ਕਰ ਸਕਦਾ।
• ਇਸ ਵਿੱਚ ਅਕਸਰ ਸਮਾਜਿਕ ਇੰਜੀਨੀਅਰਿੰਗ ਤਕਨੀਕਾਂ ਸ਼ਾਮਲ ਹੁੰਦੀਆਂ ਹਨ।
• ਬੇਨਤੀਆਂ ਪੀੜਤ ਦੇ ਬ੍ਰਾਊਜ਼ਰ ਰਾਹੀਂ ਭੇਜੀਆਂ ਜਾਂਦੀਆਂ ਹਨ।
• ਇਹ ਟਾਰਗੇਟ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨ ਦੀਆਂ ਸੈਸ਼ਨ ਪ੍ਰਬੰਧਨ ਕਮਜ਼ੋਰੀਆਂ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਦਾ ਹੈ।

CSRF ਹਮਲੇ ਖਾਸ ਤੌਰ 'ਤੇ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨਾਂ ਵਿੱਚ ਕਮਜ਼ੋਰੀਆਂ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਦੇ ਹਨ। ਇਹਨਾਂ ਹਮਲਿਆਂ ਵਿੱਚ, ਇੱਕ ਹਮਲਾਵਰ ਉਸ ਵੈੱਬਸਾਈਟ ਨੂੰ ਬੇਨਤੀਆਂ ਭੇਜਦਾ ਹੈ ਜਿਸ ਵਿੱਚ ਉਪਭੋਗਤਾ ਲਾਗਇਨ ਕਰਦਾ ਹੈ, ਪੀੜਤ ਦੇ ਬ੍ਰਾਊਜ਼ਰ ਵਿੱਚ ਇੱਕ ਖਤਰਨਾਕ ਲਿੰਕ ਜਾਂ ਸਕ੍ਰਿਪਟ ਰਾਹੀਂ। ਇਹ ਬੇਨਤੀਆਂ ਉਪਭੋਗਤਾ ਦੀਆਂ ਆਪਣੀਆਂ ਬੇਨਤੀਆਂ ਦੇ ਰੂਪ ਵਿੱਚ ਦਿਖਾਈ ਦਿੰਦੀਆਂ ਹਨ ਅਤੇ ਇਸ ਲਈ ਵੈੱਬ ਸਰਵਰ ਦੁਆਰਾ ਜਾਇਜ਼ ਮੰਨੀਆਂ ਜਾਂਦੀਆਂ ਹਨ। ਇਹ ਹਮਲਾਵਰ ਨੂੰ ਉਪਭੋਗਤਾ ਦੇ ਖਾਤੇ ਵਿੱਚ ਅਣਅਧਿਕਾਰਤ ਬਦਲਾਅ ਕਰਨ ਜਾਂ ਸੰਵੇਦਨਸ਼ੀਲ ਡੇਟਾ ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ।

ਹਮਲੇ ਦੀ ਕਿਸਮ	ਵਿਆਖਿਆ	ਰੋਕਥਾਮ ਦੇ ਤਰੀਕੇ
GET-ਅਧਾਰਤ CSRF	ਹਮਲਾਵਰ ਇੱਕ ਕਨੈਕਸ਼ਨ ਰਾਹੀਂ ਇੱਕ ਬੇਨਤੀ ਭੇਜਦਾ ਹੈ।	AntiForgeryToken ਵਰਤੋਂ, ਰੈਫਰਰ ਕੰਟਰੋਲ।
ਪੋਸਟ-ਅਧਾਰਤ ਸੀਐਸਆਰਐਫ	ਹਮਲਾਵਰ ਇੱਕ ਫਾਰਮ ਜਮ੍ਹਾਂ ਕਰਕੇ ਇੱਕ ਬੇਨਤੀ ਭੇਜਦਾ ਹੈ।	ਐਂਟੀਫੋਰਜੀ ਟੋਕਨ ਵਰਤੋਂ, ਕੈਪਚਾ।
JSON ਅਧਾਰਤ CSRF	ਹਮਲਾਵਰ JSON ਡੇਟਾ ਦੇ ਨਾਲ ਇੱਕ ਬੇਨਤੀ ਭੇਜਦਾ ਹੈ।	ਕਸਟਮ ਹੈਡਰ, CORS ਨੀਤੀਆਂ ਦਾ ਨਿਯੰਤਰਣ।
ਫਲੈਸ਼-ਅਧਾਰਿਤ CSRF	ਹਮਲਾਵਰ ਫਲੈਸ਼ ਐਪਲੀਕੇਸ਼ਨ ਰਾਹੀਂ ਬੇਨਤੀ ਭੇਜਦਾ ਹੈ।	ਫਲੈਸ਼ ਨੂੰ ਅਯੋਗ ਕੀਤਾ ਜਾ ਰਿਹਾ ਹੈ, ਸੁਰੱਖਿਆ ਅੱਪਡੇਟ।

ਇਹਨਾਂ ਹਮਲਿਆਂ ਨੂੰ ਰੋਕਣ ਲਈ ਕਈ ਤਰ੍ਹਾਂ ਦੇ ਰੱਖਿਆ ਵਿਧੀਆਂ ਵਿਕਸਤ ਕੀਤੀਆਂ ਗਈਆਂ ਹਨ। ਸਭ ਤੋਂ ਆਮ ਤਰੀਕਿਆਂ ਵਿੱਚੋਂ ਇੱਕ ਹੈ ਐਂਟੀਫੋਰਜੀ ਟੋਕਨ ਇਹ ਵਿਧੀ ਹਰੇਕ ਫਾਰਮ ਜਮ੍ਹਾਂ ਕਰਨ ਲਈ ਇੱਕ ਵਿਲੱਖਣ ਟੋਕਨ ਤਿਆਰ ਕਰਦੀ ਹੈ, ਇਹ ਪੁਸ਼ਟੀ ਕਰਦੀ ਹੈ ਕਿ ਬੇਨਤੀ ਇੱਕ ਜਾਇਜ਼ ਉਪਭੋਗਤਾ ਦੁਆਰਾ ਕੀਤੀ ਗਈ ਹੈ। ਇੱਕ ਹੋਰ ਤਰੀਕਾ ਹੈ ਸੇਮਸਾਈਟ ਕੂਕੀਜ਼ ਇਹ ਕੂਕੀਜ਼ ਸਿਰਫ਼ ਉਸੇ ਸਾਈਟ ਦੇ ਅੰਦਰ ਬੇਨਤੀਆਂ ਨਾਲ ਭੇਜੀਆਂ ਜਾਂਦੀਆਂ ਹਨ, ਇਸ ਤਰ੍ਹਾਂ ਕਰਾਸ-ਸਾਈਟ ਬੇਨਤੀਆਂ ਨੂੰ ਰੋਕਿਆ ਜਾਂਦਾ ਹੈ। ਨਾਲ ਹੀ, ਰੈਫਰਰ ਹੈਡਰ ਦੀ ਜਾਂਚ ਕਰਨ ਨਾਲ ਵੀ ਹਮਲਿਆਂ ਨੂੰ ਰੋਕਣ ਵਿੱਚ ਮਦਦ ਮਿਲ ਸਕਦੀ ਹੈ।

ਸੀਐਸਆਰਐਫ ਹਮਲੇ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨਾਂ ਲਈ ਇੱਕ ਗੰਭੀਰ ਖ਼ਤਰਾ ਪੈਦਾ ਕਰਦੇ ਹਨ ਅਤੇ ਉਪਭੋਗਤਾਵਾਂ ਅਤੇ ਡਿਵੈਲਪਰਾਂ ਦੋਵਾਂ ਨੂੰ ਸਾਵਧਾਨੀ ਨਾਲ ਸੰਭਾਲਣਾ ਚਾਹੀਦਾ ਹੈ। ਅਜਿਹੇ ਹਮਲਿਆਂ ਦੇ ਪ੍ਰਭਾਵ ਨੂੰ ਘਟਾਉਣ ਲਈ ਮਜ਼ਬੂਤ ਬਚਾਅ ਲਾਗੂ ਕਰਨਾ ਅਤੇ ਉਪਭੋਗਤਾ ਜਾਗਰੂਕਤਾ ਵਧਾਉਣਾ ਬਹੁਤ ਜ਼ਰੂਰੀ ਹੈ। ਵੈੱਬ ਡਿਵੈਲਪਰਾਂ ਨੂੰ ਆਪਣੀਆਂ ਐਪਲੀਕੇਸ਼ਨਾਂ ਡਿਜ਼ਾਈਨ ਕਰਦੇ ਸਮੇਂ ਸੁਰੱਖਿਆ ਸਿਧਾਂਤਾਂ 'ਤੇ ਵਿਚਾਰ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ ਅਤੇ ਨਿਯਮਤ ਸੁਰੱਖਿਆ ਜਾਂਚ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ।

CSRF ਹਮਲੇ ਕਿਵੇਂ ਕੀਤੇ ਜਾਂਦੇ ਹਨ?

CSRF (ਕਰਾਸ-ਸਾਈਟ ਬੇਨਤੀ ਜਾਅਲਸਾਜ਼ੀ) ਘੁਸਪੈਠ ਦੇ ਹਮਲਿਆਂ ਵਿੱਚ ਇੱਕ ਖਤਰਨਾਕ ਵੈੱਬਸਾਈਟ ਜਾਂ ਐਪਲੀਕੇਸ਼ਨ ਸ਼ਾਮਲ ਹੁੰਦੀ ਹੈ ਜੋ ਉਪਭੋਗਤਾ ਦੀ ਜਾਣਕਾਰੀ ਜਾਂ ਸਹਿਮਤੀ ਤੋਂ ਬਿਨਾਂ ਕਿਸੇ ਅਧਿਕਾਰਤ ਉਪਭੋਗਤਾ ਦੇ ਬ੍ਰਾਊਜ਼ਰ ਰਾਹੀਂ ਬੇਨਤੀਆਂ ਭੇਜਦੀ ਹੈ। ਇਹ ਹਮਲੇ ਇੱਕ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨ ਦੇ ਅੰਦਰ ਹੁੰਦੇ ਹਨ ਜਿਸ ਵਿੱਚ ਉਪਭੋਗਤਾ ਲੌਗਇਨ ਹੁੰਦਾ ਹੈ (ਉਦਾਹਰਣ ਵਜੋਂ, ਇੱਕ ਬੈਂਕਿੰਗ ਸਾਈਟ ਜਾਂ ਸੋਸ਼ਲ ਮੀਡੀਆ ਪਲੇਟਫਾਰਮ)। ਉਪਭੋਗਤਾ ਦੇ ਬ੍ਰਾਊਜ਼ਰ ਵਿੱਚ ਖਤਰਨਾਕ ਕੋਡ ਲਗਾ ਕੇ, ਹਮਲਾਵਰ ਉਪਭੋਗਤਾ ਦੀ ਜਾਣਕਾਰੀ ਤੋਂ ਬਿਨਾਂ ਕਾਰਵਾਈਆਂ ਕਰ ਸਕਦਾ ਹੈ।

ਸੀਐਸਆਰਐਫ ਇਸ ਹਮਲੇ ਦਾ ਮੂਲ ਕਾਰਨ ਇਹ ਹੈ ਕਿ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨਾਂ HTTP ਬੇਨਤੀਆਂ ਨੂੰ ਪ੍ਰਮਾਣਿਤ ਕਰਨ ਲਈ ਢੁਕਵੇਂ ਸੁਰੱਖਿਆ ਉਪਾਅ ਲਾਗੂ ਕਰਨ ਵਿੱਚ ਅਸਫਲ ਰਹਿੰਦੀਆਂ ਹਨ। ਇਹ ਹਮਲਾਵਰਾਂ ਨੂੰ ਬੇਨਤੀਆਂ ਨੂੰ ਜਾਅਲੀ ਬਣਾਉਣ ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਜਾਇਜ਼ ਉਪਭੋਗਤਾ ਬੇਨਤੀਆਂ ਵਜੋਂ ਪੇਸ਼ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। ਉਦਾਹਰਣ ਵਜੋਂ, ਇੱਕ ਹਮਲਾਵਰ ਇੱਕ ਉਪਭੋਗਤਾ ਨੂੰ ਆਪਣਾ ਪਾਸਵਰਡ ਬਦਲਣ, ਫੰਡ ਟ੍ਰਾਂਸਫਰ ਕਰਨ, ਜਾਂ ਆਪਣੀ ਪ੍ਰੋਫਾਈਲ ਜਾਣਕਾਰੀ ਨੂੰ ਅਪਡੇਟ ਕਰਨ ਲਈ ਮਜਬੂਰ ਕਰ ਸਕਦਾ ਹੈ। ਇਸ ਕਿਸਮ ਦੇ ਹਮਲਿਆਂ ਦੇ ਵਿਅਕਤੀਗਤ ਉਪਭੋਗਤਾਵਾਂ ਅਤੇ ਵੱਡੇ ਸੰਗਠਨਾਂ ਦੋਵਾਂ ਲਈ ਗੰਭੀਰ ਨਤੀਜੇ ਹੋ ਸਕਦੇ ਹਨ।

ਹਮਲੇ ਦੀ ਕਿਸਮ	ਵਿਆਖਿਆ	ਉਦਾਹਰਣ
URL ਆਧਾਰਿਤ ਸੀਐਸਆਰਐਫ	ਹਮਲਾਵਰ ਇੱਕ ਖਤਰਨਾਕ URL ਬਣਾਉਂਦਾ ਹੈ ਅਤੇ ਉਪਭੋਗਤਾ ਨੂੰ ਇਸ 'ਤੇ ਕਲਿੱਕ ਕਰਨ ਲਈ ਉਤਸ਼ਾਹਿਤ ਕਰਦਾ ਹੈ।	<a href="http://example.com/transfer?to=attacker&amount=1000">ਤੁਸੀਂ ਇਨਾਮ ਜਿੱਤ ਲਿਆ ਹੈ!</a>
ਫਾਰਮ ਅਧਾਰਤ ਸੀਐਸਆਰਐਫ	ਹਮਲਾਵਰ ਇੱਕ ਫਾਰਮ ਬਣਾ ਕੇ ਉਪਭੋਗਤਾ ਨੂੰ ਧੋਖਾ ਦਿੰਦਾ ਹੈ ਜੋ ਆਪਣੇ ਆਪ ਜਮ੍ਹਾਂ ਹੋ ਜਾਂਦਾ ਹੈ।	<form action=http://example.com/transfer method=POST><input type=hidden name=to value=attacker><input type=hidden name=amount value=1000><input type=submit value=Gönder></form>
JSON ਅਧਾਰਤ ਸੀਐਸਆਰਐਫ	ਇਹ ਹਮਲਾ API ਬੇਨਤੀਆਂ ਵਿੱਚ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।	fetch('http://example.com/api/transfer', { ਵਿਧੀ: 'POST', ਸਰੀਰ: JSON.stringify({ ਤੋਂ: 'ਹਮਲਾਵਰ', ਮਾਤਰਾ: 1000) )
ਚਿੱਤਰ ਟੈਗ ਦੇ ਨਾਲ ਸੀਐਸਆਰਐਫ	ਹਮਲਾਵਰ ਇੱਕ ਚਿੱਤਰ ਟੈਗ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਇੱਕ ਬੇਨਤੀ ਭੇਜਦਾ ਹੈ।	<img src="http://example.com/transfer?to=attacker&amount=1000">

ਸੀਐਸਆਰਐਫ ਹਮਲਿਆਂ ਦੇ ਸਫਲ ਹੋਣ ਲਈ, ਉਪਭੋਗਤਾ ਨੂੰ ਨਿਸ਼ਾਨਾ ਵੈੱਬਸਾਈਟ 'ਤੇ ਲੌਗਇਨ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਹਮਲਾਵਰ ਨੂੰ ਉਪਭੋਗਤਾ ਦੇ ਬ੍ਰਾਊਜ਼ਰ ਨੂੰ ਇੱਕ ਖਤਰਨਾਕ ਬੇਨਤੀ ਭੇਜਣ ਦੇ ਯੋਗ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ। ਇਹ ਬੇਨਤੀ ਆਮ ਤੌਰ 'ਤੇ ਇੱਕ ਈਮੇਲ, ਇੱਕ ਵੈੱਬਸਾਈਟ, ਜਾਂ ਇੱਕ ਫੋਰਮ ਪੋਸਟ ਰਾਹੀਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਜਦੋਂ ਉਪਭੋਗਤਾ ਬੇਨਤੀ 'ਤੇ ਕਲਿੱਕ ਕਰਦਾ ਹੈ, ਤਾਂ ਬ੍ਰਾਊਜ਼ਰ ਆਪਣੇ ਆਪ ਨਿਸ਼ਾਨਾ ਵੈੱਬਸਾਈਟ ਨੂੰ ਇੱਕ ਬੇਨਤੀ ਭੇਜਦਾ ਹੈ, ਜੋ ਉਪਭੋਗਤਾ ਦੇ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਦੇ ਨਾਲ ਭੇਜੀ ਜਾਂਦੀ ਹੈ। ਇਸ ਲਈ, ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨਾਂ ਸੀਐਸਆਰਐਫ ਹਮਲਿਆਂ ਤੋਂ ਬਚਾਅ ਬਹੁਤ ਮਹੱਤਵਪੂਰਨ ਹੈ।

ਹਮਲੇ ਦੇ ਦ੍ਰਿਸ਼

ਸੀਐਸਆਰਐਫ ਹਮਲੇ ਆਮ ਤੌਰ 'ਤੇ ਕਈ ਤਰ੍ਹਾਂ ਦੇ ਦ੍ਰਿਸ਼ਾਂ ਰਾਹੀਂ ਕੀਤੇ ਜਾਂਦੇ ਹਨ। ਸਭ ਤੋਂ ਆਮ ਦ੍ਰਿਸ਼ਾਂ ਵਿੱਚੋਂ ਇੱਕ ਈਮੇਲ ਰਾਹੀਂ ਭੇਜਿਆ ਗਿਆ ਇੱਕ ਖਤਰਨਾਕ ਲਿੰਕ ਹੈ। ਜਦੋਂ ਉਪਭੋਗਤਾ ਇਸ ਲਿੰਕ 'ਤੇ ਕਲਿੱਕ ਕਰਦਾ ਹੈ, ਤਾਂ ਪਿਛੋਕੜ ਵਿੱਚ ਇੱਕ ਖਤਰਨਾਕ ਲਿੰਕ ਬਣ ਜਾਂਦਾ ਹੈ। ਸੀਐਸਆਰਐਫ ਇੱਕ ਖਤਰਨਾਕ ਹਮਲਾ ਸ਼ੁਰੂ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ ਉਪਭੋਗਤਾ ਦੀ ਜਾਣਕਾਰੀ ਤੋਂ ਬਿਨਾਂ ਕਾਰਵਾਈਆਂ ਕੀਤੀਆਂ ਜਾਂਦੀਆਂ ਹਨ। ਇੱਕ ਹੋਰ ਦ੍ਰਿਸ਼ ਇੱਕ ਭਰੋਸੇਯੋਗ ਵੈੱਬਸਾਈਟ 'ਤੇ ਰੱਖੇ ਗਏ ਇੱਕ ਖਤਰਨਾਕ ਚਿੱਤਰ ਜਾਂ JavaScript ਕੋਡ ਰਾਹੀਂ ਹਮਲਾ ਹੈ।

ਲੋੜੀਂਦੇ ਔਜ਼ਾਰ

ਸੀਐਸਆਰਐਫ ਹਮਲੇ ਕਰਨ ਜਾਂ ਟੈਸਟ ਕਰਨ ਲਈ ਕਈ ਟੂਲ ਵਰਤੇ ਜਾ ਸਕਦੇ ਹਨ। ਇਹਨਾਂ ਟੂਲਸ ਵਿੱਚ ਬਰਪ ਸੂਟ, OWASP ZAP, ਅਤੇ ਕਈ ਕਸਟਮ ਸਕ੍ਰਿਪਟਾਂ ਸ਼ਾਮਲ ਹਨ। ਇਹ ਟੂਲ ਹਮਲਾਵਰਾਂ ਨੂੰ ਨਕਲੀ ਬੇਨਤੀਆਂ ਬਣਾਉਣ, HTTP ਟ੍ਰੈਫਿਕ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨ ਅਤੇ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਪਛਾਣ ਕਰਨ ਵਿੱਚ ਮਦਦ ਕਰਦੇ ਹਨ। ਸੁਰੱਖਿਆ ਪੇਸ਼ੇਵਰ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੀ ਸੁਰੱਖਿਆ ਦੀ ਜਾਂਚ ਕਰਨ ਲਈ ਵੀ ਇਹਨਾਂ ਟੂਲਸ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦੇ ਹਨ ਅਤੇ ਸੀਐਸਆਰਐਫ ਪਾੜੇ ਦੀ ਪਛਾਣ ਕਰ ਸਕਦਾ ਹੈ।

CSRF ਹਮਲੇ ਦੇ ਕਦਮ

1. ਟਾਰਗੇਟ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨ ਵਿੱਚ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਪਛਾਣ ਕਰਨਾ।
2. ਜਿਸ ਵੈੱਬਸਾਈਟ 'ਤੇ ਉਪਭੋਗਤਾ ਲੌਗਇਨ ਹੁੰਦਾ ਹੈ, ਉਸ 'ਤੇ ਇੱਕ ਖਤਰਨਾਕ ਬੇਨਤੀ ਬਣਾਈ ਜਾਂਦੀ ਹੈ।
3. ਉਪਭੋਗਤਾ ਤੋਂ ਇਸ ਬੇਨਤੀ ਨੂੰ ਚਾਲੂ ਕਰਨ ਲਈ ਸੋਸ਼ਲ ਇੰਜੀਨੀਅਰਿੰਗ ਤਕਨੀਕਾਂ ਦੀ ਵਰਤੋਂ ਕਰਨਾ।
4. ਉਪਭੋਗਤਾ ਦਾ ਬ੍ਰਾਊਜ਼ਰ ਜਾਅਲੀ ਬੇਨਤੀ ਨੂੰ ਨਿਸ਼ਾਨਾ ਵੈੱਬਸਾਈਟ 'ਤੇ ਭੇਜਦਾ ਹੈ।
5. ਮੰਜ਼ਿਲ ਵੈੱਬਸਾਈਟ ਬੇਨਤੀ ਨੂੰ ਇੱਕ ਜਾਇਜ਼ ਉਪਭੋਗਤਾ ਬੇਨਤੀ ਵਜੋਂ ਮੰਨਦੀ ਹੈ।
6. ਹਮਲਾਵਰ ਉਪਭੋਗਤਾ ਦੇ ਖਾਤੇ ਰਾਹੀਂ ਅਣਅਧਿਕਾਰਤ ਕਾਰਵਾਈਆਂ ਕਰਦਾ ਹੈ।

ਕਿਵੇਂ ਰੋਕਿਆ ਜਾਵੇ?

ਸੀਐਸਆਰਐਫ ਹਮਲਿਆਂ ਨੂੰ ਰੋਕਣ ਦੇ ਕਈ ਤਰੀਕੇ ਹਨ। ਇਹਨਾਂ ਤਰੀਕਿਆਂ ਵਿੱਚੋਂ ਸਭ ਤੋਂ ਆਮ ਵਿੱਚ ਸ਼ਾਮਲ ਹਨ: ਸੀਐਸਆਰਐਫ ਟੋਕਨ, SameSite ਕੂਕੀਜ਼, ਅਤੇ ਡਬਲ-ਸੈਂਡ ਕੂਕੀਜ਼। ਸੀਐਸਆਰਐਫ ਟੋਕਨ ਹਰੇਕ ਫਾਰਮ ਜਾਂ ਬੇਨਤੀ ਲਈ ਇੱਕ ਵਿਲੱਖਣ ਮੁੱਲ ਤਿਆਰ ਕਰਕੇ ਹਮਲਾਵਰਾਂ ਨੂੰ ਨਕਲੀ ਬੇਨਤੀਆਂ ਬਣਾਉਣ ਤੋਂ ਰੋਕਦੇ ਹਨ। SameSite ਕੂਕੀਜ਼ ਇਹ ਯਕੀਨੀ ਬਣਾਉਂਦੇ ਹਨ ਕਿ ਕੂਕੀਜ਼ ਸਿਰਫ਼ ਉਸੇ ਸਾਈਟ 'ਤੇ ਬੇਨਤੀਆਂ ਨਾਲ ਭੇਜੀਆਂ ਜਾਣ, ਸੀਐਸਆਰਐਫ ਦੂਜੇ ਪਾਸੇ, ਕੂਕੀਜ਼ ਨੂੰ ਡਬਲ-ਸਬਮਿਟ ਕਰਨ ਨਾਲ ਹਮਲਾਵਰਾਂ ਲਈ ਬੇਨਤੀਆਂ ਨੂੰ ਜਾਅਲੀ ਬਣਾਉਣਾ ਔਖਾ ਹੋ ਜਾਂਦਾ ਹੈ, ਜਿਸ ਨਾਲ ਕੂਕੀ ਅਤੇ ਫਾਰਮ ਫੀਲਡ ਦੋਵਾਂ ਵਿੱਚ ਇੱਕੋ ਮੁੱਲ ਭੇਜਣ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ।

ਇਸ ਤੋਂ ਇਲਾਵਾ, ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੀ ਨਿਯਮਿਤ ਤੌਰ 'ਤੇ ਸੁਰੱਖਿਆ ਜਾਂਚ ਕੀਤੀ ਜਾਂਦੀ ਹੈ ਅਤੇ ਸੁਰੱਖਿਆ ਕਮਜ਼ੋਰੀਆਂ ਨੂੰ ਹੱਲ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਸੀਐਸਆਰਐਫ ਹਮਲਿਆਂ ਨੂੰ ਰੋਕਣਾ ਮਹੱਤਵਪੂਰਨ ਹੈ। ਡਿਵੈਲਪਰ, ਸੀਐਸਆਰਐਫ ਸੁਰੱਖਿਅਤ ਐਪਲੀਕੇਸ਼ਨਾਂ ਵਿਕਸਤ ਕਰਨ ਲਈ ਹਮਲੇ ਕਿਵੇਂ ਕੰਮ ਕਰਦੇ ਹਨ ਅਤੇ ਉਨ੍ਹਾਂ ਨੂੰ ਕਿਵੇਂ ਰੋਕਿਆ ਜਾਵੇ, ਇਹ ਸਮਝਣਾ ਬਹੁਤ ਜ਼ਰੂਰੀ ਹੈ। ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਸ਼ੱਕੀ ਲਿੰਕਾਂ ਤੋਂ ਬਚਣ ਅਤੇ ਵੈੱਬਸਾਈਟਾਂ ਨੂੰ ਸੁਰੱਖਿਅਤ ਰੱਖਣ ਦੀ ਵੀ ਲੋੜ ਹੈ।

CSRF ਹਮਲਿਆਂ ਵਿਰੁੱਧ ਚੁੱਕੇ ਜਾ ਸਕਣ ਵਾਲੇ ਸਾਵਧਾਨੀਆਂ

CSRF (ਕਰਾਸ-ਸਾਈਟ ਬੇਨਤੀ ਜਾਅਲਸਾਜ਼ੀ) ਹਮਲਿਆਂ ਦੇ ਵਿਰੁੱਧ ਜਵਾਬੀ ਉਪਾਵਾਂ ਵਿੱਚ ਕਈ ਤਰ੍ਹਾਂ ਦੀਆਂ ਰਣਨੀਤੀਆਂ ਸ਼ਾਮਲ ਹਨ ਜੋ ਡਿਵੈਲਪਰਾਂ ਅਤੇ ਉਪਭੋਗਤਾਵਾਂ ਦੋਵਾਂ ਦੁਆਰਾ ਲਾਗੂ ਕੀਤੀਆਂ ਜਾ ਸਕਦੀਆਂ ਹਨ। ਇਹਨਾਂ ਉਪਾਵਾਂ ਦਾ ਉਦੇਸ਼ ਹਮਲਾਵਰਾਂ ਤੋਂ ਖਤਰਨਾਕ ਬੇਨਤੀਆਂ ਨੂੰ ਰੋਕਣਾ ਅਤੇ ਉਪਭੋਗਤਾ ਸੁਰੱਖਿਆ ਨੂੰ ਯਕੀਨੀ ਬਣਾਉਣਾ ਹੈ। ਅਸਲ ਵਿੱਚ, ਇਹ ਉਪਾਅ ਬੇਨਤੀਆਂ ਦੀ ਜਾਇਜ਼ਤਾ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਅਤੇ ਅਣਅਧਿਕਾਰਤ ਪਹੁੰਚ ਨੂੰ ਰੋਕਣ 'ਤੇ ਕੇਂਦ੍ਰਤ ਕਰਦੇ ਹਨ।

ਇੱਕ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਰੱਖਿਆ ਰਣਨੀਤੀ ਲਈ, ਸਰਵਰ ਅਤੇ ਕਲਾਇੰਟ ਦੋਵਾਂ ਪਾਸੇ ਕੁਝ ਉਪਾਅ ਕਰਨ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ। ਸਰਵਰ ਪਾਸੇ, ਬੇਨਤੀਆਂ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਲਈ। ਸੀਐਸਆਰਐਫ ਟੋਕਨਾਂ ਦੀ ਵਰਤੋਂ ਕਰਨਾ, SameSite ਕੂਕੀਜ਼ ਨਾਲ ਕੂਕੀਜ਼ ਦੇ ਦਾਇਰੇ ਨੂੰ ਸੀਮਤ ਕਰਨਾ, ਅਤੇ ਡਬਲ-ਸੈਂਡ ਕੂਕੀਜ਼ ਦੀ ਵਰਤੋਂ ਕਰਨਾ ਮਹੱਤਵਪੂਰਨ ਹਨ। ਕਲਾਇੰਟ ਵਾਲੇ ਪਾਸੇ, ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਅਣਜਾਣ ਜਾਂ ਅਸੁਰੱਖਿਅਤ ਕਨੈਕਸ਼ਨਾਂ ਤੋਂ ਬਚਣ ਲਈ ਸਿੱਖਿਅਤ ਕਰਨਾ ਅਤੇ ਬ੍ਰਾਊਜ਼ਰ ਸੁਰੱਖਿਆ ਸੈਟਿੰਗਾਂ ਨੂੰ ਸਹੀ ਢੰਗ ਨਾਲ ਕੌਂਫਿਗਰ ਕਰਨਾ ਮਹੱਤਵਪੂਰਨ ਹੈ।

ਸਾਵਧਾਨੀਆਂ ਵਰਤਣੀਆਂ

• CSRF ਟੋਕਨਾਂ ਦੀ ਵਰਤੋਂ: ਹਰੇਕ ਸੈਸ਼ਨ ਲਈ ਇੱਕ ਵਿਲੱਖਣ ਟੋਕਨ ਤਿਆਰ ਕਰਕੇ ਬੇਨਤੀਆਂ ਦੀ ਵੈਧਤਾ ਦੀ ਜਾਂਚ ਕਰੋ।
• ਸੇਮਸਾਈਟ ਕੂਕੀਜ਼: ਇਹ ਯਕੀਨੀ ਬਣਾ ਕੇ ਕਿ ਕੂਕੀਜ਼ ਸਿਰਫ਼ ਉਸੇ ਸਾਈਟ 'ਤੇ ਬੇਨਤੀਆਂ ਨਾਲ ਭੇਜੀਆਂ ਜਾਣ ਸੀਐਸਆਰਐਫ ਜੋਖਮ ਘਟਾਓ।
• ਡਬਲ ਸਬਮਿਸ਼ਨ ਕੂਕੀਜ਼: ਇਹ ਯਕੀਨੀ ਬਣਾ ਕੇ ਪ੍ਰਮਾਣਿਕਤਾ ਨੂੰ ਮਜ਼ਬੂਤ ਕਰੋ ਕਿ ਕੂਕੀ ਅਤੇ ਬੇਨਤੀ ਬਾਡੀ ਦੋਵਾਂ ਵਿੱਚ ਇੱਕੋ ਜਿਹਾ ਮੁੱਲ ਮੌਜੂਦ ਹੈ।
• ਮੂਲ ਨਿਯੰਤਰਣ (ਮੂਲ ਸਿਰਲੇਖ): ਬੇਨਤੀਆਂ ਦੇ ਸਰੋਤ ਦੀ ਜਾਂਚ ਕਰਕੇ ਅਣਅਧਿਕਾਰਤ ਬੇਨਤੀਆਂ ਨੂੰ ਬਲੌਕ ਕਰੋ।
• ਉਪਭੋਗਤਾ ਸਿਖਲਾਈ: ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਸ਼ੱਕੀ ਲਿੰਕਾਂ ਅਤੇ ਈਮੇਲਾਂ ਬਾਰੇ ਜਾਗਰੂਕ ਕਰੋ।
• ਸੁਰੱਖਿਆ ਸਿਰਲੇਖ: ਸੁਰੱਖਿਆ ਸਿਰਲੇਖਾਂ ਜਿਵੇਂ ਕਿ X-Frame-Options ਅਤੇ Content-Security-Policy ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਵਾਧੂ ਸੁਰੱਖਿਆ ਪ੍ਰਦਾਨ ਕਰੋ।

ਹੇਠਾਂ ਦਿੱਤੀ ਸਾਰਣੀ ਵਿੱਚ, ਸੀਐਸਆਰਐਫ ਤੁਸੀਂ ਹਮਲਿਆਂ ਦੇ ਵਿਰੁੱਧ ਸੰਭਾਵੀ ਜਵਾਬੀ ਉਪਾਵਾਂ ਅਤੇ ਉਹਨਾਂ ਹਮਲਿਆਂ ਦੀਆਂ ਕਿਸਮਾਂ ਦਾ ਸਾਰ ਦੇਖ ਸਕਦੇ ਹੋ ਜਿਨ੍ਹਾਂ ਦੇ ਵਿਰੁੱਧ ਹਰੇਕ ਜਵਾਬੀ ਉਪਾਅ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਹੈ। ਇਹ ਸਾਰਣੀ ਡਿਵੈਲਪਰਾਂ ਅਤੇ ਸੁਰੱਖਿਆ ਪੇਸ਼ੇਵਰਾਂ ਨੂੰ ਇਸ ਬਾਰੇ ਸੂਚਿਤ ਫੈਸਲੇ ਲੈਣ ਵਿੱਚ ਮਦਦ ਕਰੇਗੀ ਕਿ ਕਿਹੜੇ ਜਵਾਬੀ ਉਪਾਅ ਲਾਗੂ ਕਰਨੇ ਹਨ।

ਸਾਵਧਾਨੀ	ਵਿਆਖਿਆ	ਹਮਲੇ ਜਿਨ੍ਹਾਂ ਦੇ ਵਿਰੁੱਧ ਇਹ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਹੈ
ਸੀਐਸਆਰਐਫ ਟੋਕਨ	ਇਹ ਹਰੇਕ ਬੇਨਤੀ ਲਈ ਇੱਕ ਵਿਲੱਖਣ ਟੋਕਨ ਤਿਆਰ ਕਰਕੇ ਬੇਨਤੀ ਦੀ ਵੈਧਤਾ ਦੀ ਪੁਸ਼ਟੀ ਕਰਦਾ ਹੈ।	ਆਧਾਰ ਸੀਐਸਆਰਐਫ ਹਮਲੇ
ਸੇਮਸਾਈਟ ਕੂਕੀਜ਼	ਇਹ ਯਕੀਨੀ ਬਣਾਉਂਦਾ ਹੈ ਕਿ ਕੂਕੀਜ਼ ਸਿਰਫ਼ ਉਸੇ ਸਾਈਟ 'ਤੇ ਬੇਨਤੀਆਂ ਨਾਲ ਭੇਜੀਆਂ ਜਾਣ।	ਕਰਾਸ-ਸਾਈਟ ਬੇਨਤੀ ਜਾਅਲਸਾਜ਼ੀ
ਡਬਲ ਸਬਮਿਸ਼ਨ ਕੂਕੀਜ਼	ਕੂਕੀ ਅਤੇ ਬੇਨਤੀ ਬਾਡੀ ਦੋਵਾਂ ਵਿੱਚ ਇੱਕੋ ਜਿਹਾ ਮੁੱਲ ਮੌਜੂਦ ਹੋਣਾ ਜ਼ਰੂਰੀ ਹੈ।	ਟੋਕਨ ਚੋਰੀ ਜਾਂ ਹੇਰਾਫੇਰੀ
ਮੂਲ ਨਿਯੰਤਰਣ	ਇਹ ਬੇਨਤੀਆਂ ਦੇ ਸਰੋਤ ਦੀ ਜਾਂਚ ਕਰਕੇ ਅਣਅਧਿਕਾਰਤ ਬੇਨਤੀਆਂ ਨੂੰ ਰੋਕਦਾ ਹੈ।	ਡੋਮੇਨ ਨਾਮ ਨਾਲ ਛੇੜਛਾੜ

ਇਹ ਨਹੀਂ ਭੁੱਲਣਾ ਚਾਹੀਦਾ ਕਿ, ਸੀਐਸਆਰਐਫ ਹਮਲਿਆਂ ਤੋਂ ਪੂਰੀ ਸੁਰੱਖਿਆ ਪ੍ਰਦਾਨ ਕਰਨ ਲਈ ਇਹਨਾਂ ਉਪਾਵਾਂ ਦੇ ਸੁਮੇਲ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਜਾਣੀ ਚਾਹੀਦੀ ਹੈ। ਸਾਰੇ ਹਮਲੇ ਦੇ ਵੈਕਟਰਾਂ ਤੋਂ ਸੁਰੱਖਿਆ ਲਈ ਕੋਈ ਇੱਕਲਾ ਉਪਾਅ ਕਾਫ਼ੀ ਨਹੀਂ ਹੋ ਸਕਦਾ। ਇਸ ਲਈ, ਇੱਕ ਪੱਧਰੀ ਸੁਰੱਖਿਆ ਪਹੁੰਚ ਅਪਣਾਉਣੀ ਅਤੇ ਨਿਯਮਿਤ ਤੌਰ 'ਤੇ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਜਾਂਚ ਕਰਨਾ ਮਹੱਤਵਪੂਰਨ ਹੈ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਸੁਰੱਖਿਆ ਨੀਤੀਆਂ ਅਤੇ ਪ੍ਰਕਿਰਿਆਵਾਂ ਨੂੰ ਨਿਯਮਿਤ ਤੌਰ 'ਤੇ ਅੱਪਡੇਟ ਕਰਨ ਨਾਲ ਨਵੇਂ ਖਤਰਿਆਂ ਵਿਰੁੱਧ ਤਿਆਰੀ ਯਕੀਨੀ ਬਣਦੀ ਹੈ।

CSRF ਦੇ ਪ੍ਰਭਾਵ ਅਤੇ ਨਤੀਜੇ

ਸੀਐਸਆਰਐਫ ਕਰਾਸ-ਸਾਈਟ ਬੇਨਤੀ ਜਾਅਲਸਾਜ਼ੀ (CRF) ਹਮਲਿਆਂ ਦੇ ਪ੍ਰਭਾਵਾਂ ਦੇ ਉਪਭੋਗਤਾਵਾਂ ਅਤੇ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੋਵਾਂ ਲਈ ਗੰਭੀਰ ਨਤੀਜੇ ਹੋ ਸਕਦੇ ਹਨ। ਇਹ ਹਮਲੇ ਅਣਅਧਿਕਾਰਤ ਲੈਣ-ਦੇਣ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦੇ ਹਨ, ਉਪਭੋਗਤਾਵਾਂ ਦੇ ਖਾਤਿਆਂ ਅਤੇ ਸੰਵੇਦਨਸ਼ੀਲ ਡੇਟਾ ਨੂੰ ਖਤਰੇ ਵਿੱਚ ਪਾਉਂਦੇ ਹਨ। ਹਮਲਾਵਰ ਕਈ ਤਰ੍ਹਾਂ ਦੀਆਂ ਖਤਰਨਾਕ ਗਤੀਵਿਧੀਆਂ ਨੂੰ ਅੰਜਾਮ ਦੇਣ ਲਈ ਉਪਭੋਗਤਾਵਾਂ ਦੁਆਰਾ ਅਣਜਾਣੇ ਵਿੱਚ ਕੀਤੀਆਂ ਗਈਆਂ ਕਾਰਵਾਈਆਂ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰ ਸਕਦੇ ਹਨ। ਇਸ ਨਾਲ ਨਾ ਸਿਰਫ਼ ਵਿਅਕਤੀਗਤ ਉਪਭੋਗਤਾਵਾਂ ਲਈ ਸਗੋਂ ਕੰਪਨੀਆਂ ਅਤੇ ਸੰਗਠਨਾਂ ਲਈ ਵੀ ਮਹੱਤਵਪੂਰਨ ਸਾਖ ਅਤੇ ਵਿੱਤੀ ਨੁਕਸਾਨ ਹੋ ਸਕਦਾ ਹੈ।

CSRF ਹਮਲਿਆਂ ਦੇ ਸੰਭਾਵੀ ਪ੍ਰਭਾਵ ਨੂੰ ਸਮਝਣਾ ਉਹਨਾਂ ਦੇ ਵਿਰੁੱਧ ਵਧੇਰੇ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਬਚਾਅ ਵਿਕਸਤ ਕਰਨ ਲਈ ਬਹੁਤ ਜ਼ਰੂਰੀ ਹੈ। ਹਮਲੇ ਉਪਭੋਗਤਾ ਖਾਤਾ ਸੈਟਿੰਗਾਂ ਨੂੰ ਸੋਧਣ ਤੋਂ ਲੈ ਕੇ ਫੰਡ ਟ੍ਰਾਂਸਫਰ ਕਰਨ ਅਤੇ ਅਣਅਧਿਕਾਰਤ ਸਮੱਗਰੀ ਪ੍ਰਕਾਸ਼ਤ ਕਰਨ ਤੱਕ ਹੋ ਸਕਦੇ ਹਨ। ਇਹ ਕਾਰਵਾਈਆਂ ਨਾ ਸਿਰਫ਼ ਉਪਭੋਗਤਾ ਦੇ ਵਿਸ਼ਵਾਸ ਨੂੰ ਘਟਾਉਂਦੀਆਂ ਹਨ ਬਲਕਿ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੀ ਭਰੋਸੇਯੋਗਤਾ ਨੂੰ ਵੀ ਕਮਜ਼ੋਰ ਕਰਦੀਆਂ ਹਨ।

CSRF ਦੇ ਨਕਾਰਾਤਮਕ ਪ੍ਰਭਾਵ

• ਖਾਤਾ ਟੇਕਓਵਰ ਅਤੇ ਅਣਅਧਿਕਾਰਤ ਪਹੁੰਚ।
• ਉਪਭੋਗਤਾ ਡੇਟਾ ਵਿੱਚ ਹੇਰਾਫੇਰੀ ਜਾਂ ਮਿਟਾਉਣਾ।
• ਵਿੱਤੀ ਨੁਕਸਾਨ (ਅਣਅਧਿਕਾਰਤ ਪੈਸੇ ਟ੍ਰਾਂਸਫਰ, ਖਰੀਦਦਾਰੀ)।
• ਸਾਖ ਦਾ ਨੁਕਸਾਨ ਅਤੇ ਗਾਹਕਾਂ ਦੇ ਵਿਸ਼ਵਾਸ ਦਾ ਨੁਕਸਾਨ।
• ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨ ਸਰੋਤਾਂ ਦੀ ਦੁਰਵਰਤੋਂ।
• ਕਾਨੂੰਨੀ ਮੁੱਦੇ ਅਤੇ ਕਾਨੂੰਨੀ ਜ਼ਿੰਮੇਵਾਰੀਆਂ।

ਹੇਠਾਂ ਦਿੱਤੀ ਸਾਰਣੀ ਵੱਖ-ਵੱਖ ਸਥਿਤੀਆਂ ਵਿੱਚ CSRF ਹਮਲਿਆਂ ਦੇ ਸੰਭਾਵੀ ਨਤੀਜਿਆਂ ਦੀ ਵਧੇਰੇ ਵਿਸਥਾਰ ਵਿੱਚ ਜਾਂਚ ਕਰਦੀ ਹੈ:

ਹਮਲੇ ਦੀ ਸਥਿਤੀ	ਸੰਭਾਵੀ ਨਤੀਜੇ	ਪ੍ਰਭਾਵਿਤ ਧਿਰ
ਪਾਸਵਰਡ ਬਦਲੋ	ਉਪਭੋਗਤਾ ਦੇ ਖਾਤੇ ਤੱਕ ਪਹੁੰਚ ਦਾ ਨੁਕਸਾਨ, ਨਿੱਜੀ ਡੇਟਾ ਦੀ ਚੋਰੀ।	ਉਪਭੋਗਤਾ
ਬੈਂਕ ਖਾਤੇ ਤੋਂ ਪੈਸੇ ਟ੍ਰਾਂਸਫਰ	ਅਣਅਧਿਕਾਰਤ ਪੈਸੇ ਦਾ ਤਬਾਦਲਾ, ਵਿੱਤੀ ਨੁਕਸਾਨ।	ਉਪਭੋਗਤਾ, ਬੈਂਕ
ਸੋਸ਼ਲ ਮੀਡੀਆ ਸਾਂਝਾਕਰਨ	ਅਣਚਾਹੀ ਜਾਂ ਨੁਕਸਾਨਦੇਹ ਸਮੱਗਰੀ ਦਾ ਪ੍ਰਸਾਰ, ਸਾਖ ਦਾ ਨੁਕਸਾਨ।	ਉਪਭੋਗਤਾ, ਸੋਸ਼ਲ ਮੀਡੀਆ ਪਲੇਟਫਾਰਮ
ਈ-ਕਾਮਰਸ ਸਾਈਟ 'ਤੇ ਆਰਡਰ ਕਰਨਾ	ਅਣਅਧਿਕਾਰਤ ਉਤਪਾਦ ਆਰਡਰ, ਵਿੱਤੀ ਨੁਕਸਾਨ।	ਉਪਭੋਗਤਾ, ਈ-ਕਾਮਰਸ ਸਾਈਟ

ਇਹ ਨਤੀਜੇ, ਸੀਐਸਆਰਐਫ ਇਹ ਇਹਨਾਂ ਹਮਲਿਆਂ ਦੀ ਗੰਭੀਰਤਾ ਨੂੰ ਦਰਸਾਉਂਦਾ ਹੈ। ਇਸ ਲਈ, ਵੈੱਬ ਡਿਵੈਲਪਰਾਂ ਅਤੇ ਸਿਸਟਮ ਪ੍ਰਸ਼ਾਸਕਾਂ ਲਈ ਅਜਿਹੇ ਹਮਲਿਆਂ ਵਿਰੁੱਧ ਸਰਗਰਮ ਉਪਾਅ ਕਰਨ ਅਤੇ ਉਪਭੋਗਤਾ ਜਾਗਰੂਕਤਾ ਵਧਾਉਣਾ ਬਹੁਤ ਜ਼ਰੂਰੀ ਹੈ। ਉਪਭੋਗਤਾ ਡੇਟਾ ਦੀ ਸੁਰੱਖਿਆ ਅਤੇ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੀ ਸੁਰੱਖਿਆ ਨੂੰ ਯਕੀਨੀ ਬਣਾਉਣ ਲਈ ਮਜ਼ਬੂਤ ਬਚਾਅ ਪੱਖਾਂ ਨੂੰ ਲਾਗੂ ਕਰਨਾ ਜ਼ਰੂਰੀ ਹੈ।

ਇਹ ਨਹੀਂ ਭੁੱਲਣਾ ਚਾਹੀਦਾ ਕਿ, ਇੱਕ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਰੱਖਿਆ ਰਣਨੀਤੀ ਇਹ ਰਣਨੀਤੀ ਸਿਰਫ਼ ਤਕਨੀਕੀ ਉਪਾਵਾਂ ਤੱਕ ਸੀਮਿਤ ਨਹੀਂ ਹੋਣੀ ਚਾਹੀਦੀ; ਉਪਭੋਗਤਾ ਜਾਗਰੂਕਤਾ ਅਤੇ ਸਿੱਖਿਆ ਵੀ ਇਸ ਰਣਨੀਤੀ ਦਾ ਇੱਕ ਅਨਿੱਖੜਵਾਂ ਅੰਗ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ। ਸ਼ੱਕੀ ਲਿੰਕਾਂ 'ਤੇ ਕਲਿੱਕ ਨਾ ਕਰਨਾ, ਗੈਰ-ਭਰੋਸੇਯੋਗ ਵੈੱਬਸਾਈਟਾਂ ਵਿੱਚ ਲੌਗਇਨ ਕਰਨ ਤੋਂ ਬਚਣਾ, ਅਤੇ ਨਿਯਮਿਤ ਤੌਰ 'ਤੇ ਪਾਸਵਰਡ ਬਦਲਣਾ ਵਰਗੇ ਸਧਾਰਨ ਉਪਾਅ CSRF ਹਮਲਿਆਂ ਨੂੰ ਰੋਕਣ ਵਿੱਚ ਮਹੱਤਵਪੂਰਨ ਭੂਮਿਕਾ ਨਿਭਾ ਸਕਦੇ ਹਨ।

CSRF ਰੱਖਿਆ ਸਾਧਨ ਅਤੇ ਢੰਗ

ਸੀਐਸਆਰਐਫ ਕਰਾਸ-ਸਾਈਟ ਰਿਕਵੈਸਟ ਫੋਰਜੀ (CRF) ਹਮਲਿਆਂ ਦੇ ਵਿਰੁੱਧ ਇੱਕ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਰੱਖਿਆ ਰਣਨੀਤੀ ਵਿਕਸਤ ਕਰਨਾ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨਾਂ ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰਨ ਲਈ ਬਹੁਤ ਜ਼ਰੂਰੀ ਹੈ। ਕਿਉਂਕਿ ਇਹ ਹਮਲੇ ਉਪਭੋਗਤਾ ਦੇ ਗਿਆਨ ਜਾਂ ਸਹਿਮਤੀ ਤੋਂ ਬਿਨਾਂ ਅਣਅਧਿਕਾਰਤ ਕਾਰਵਾਈਆਂ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦੇ ਹਨ, ਇਸ ਲਈ ਇੱਕ ਬਹੁਪੱਖੀ, ਪੱਧਰੀ ਰੱਖਿਆ ਪਹੁੰਚ ਜ਼ਰੂਰੀ ਹੈ। ਇਸ ਭਾਗ ਵਿੱਚ, ਸੀਐਸਆਰਐਫ ਹਮਲਿਆਂ ਨੂੰ ਰੋਕਣ ਅਤੇ ਘਟਾਉਣ ਲਈ ਵਰਤੇ ਜਾ ਸਕਣ ਵਾਲੇ ਵੱਖ-ਵੱਖ ਸਾਧਨਾਂ ਅਤੇ ਤਰੀਕਿਆਂ ਦੀ ਜਾਂਚ ਕੀਤੀ ਜਾਵੇਗੀ।

ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨਾਂ ਸੀਐਸਆਰਐਫ ਇਹਨਾਂ ਹਮਲਿਆਂ ਤੋਂ ਬਚਾਅ ਲਈ ਵਰਤੇ ਜਾਣ ਵਾਲੇ ਮੁੱਖ ਰੱਖਿਆ ਵਿਧੀਆਂ ਵਿੱਚੋਂ ਇੱਕ ਸਿੰਕ੍ਰੋਨਾਈਜ਼ਡ ਟੋਕਨ ਪੈਟਰਨ (STP) ਹੈ। ਇਸ ਮਾਡਲ ਵਿੱਚ, ਸਰਵਰ ਦੁਆਰਾ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਇੱਕ ਵਿਲੱਖਣ ਟੋਕਨ ਹਰੇਕ ਉਪਭੋਗਤਾ ਸੈਸ਼ਨ ਲਈ ਸਟੋਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ ਹਰੇਕ ਫਾਰਮ ਸਬਮਿਸ਼ਨ ਜਾਂ ਮਹੱਤਵਪੂਰਨ ਟ੍ਰਾਂਜੈਕਸ਼ਨ ਬੇਨਤੀ ਦੇ ਨਾਲ ਭੇਜਿਆ ਜਾਂਦਾ ਹੈ। ਸਰਵਰ ਸੈਸ਼ਨ ਵਿੱਚ ਸਟੋਰ ਕੀਤੇ ਟੋਕਨ ਨਾਲ ਪ੍ਰਾਪਤ ਟੋਕਨ ਦੀ ਤੁਲਨਾ ਕਰਕੇ ਬੇਨਤੀ ਦੀ ਜਾਇਜ਼ਤਾ ਦੀ ਪੁਸ਼ਟੀ ਕਰਦਾ ਹੈ। ਇਹ ਇੱਕ ਵੱਖਰੀ ਸਾਈਟ ਤੋਂ ਧੋਖਾਧੜੀ ਵਾਲੀਆਂ ਬੇਨਤੀਆਂ ਨੂੰ ਰੋਕਦਾ ਹੈ।

ਰੱਖਿਆ ਸੰਦ

• ਸਿੰਕ੍ਰੋਨਸ ਟੋਕਨ ਮਾਡਲ (STP): ਇਹ ਹਰੇਕ ਫਾਰਮ ਲਈ ਵਿਲੱਖਣ ਟੋਕਨ ਤਿਆਰ ਕਰਕੇ ਬੇਨਤੀਆਂ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਦੀ ਪੁਸ਼ਟੀ ਕਰਦਾ ਹੈ।
• ਡਬਲ ਸਬਮਿਟ ਕੂਕੀਜ਼: ਕੂਕੀ ਅਤੇ ਬੇਨਤੀ ਪੈਰਾਮੀਟਰ ਦੋਵਾਂ ਵਿੱਚ ਇੱਕ ਬੇਤਰਤੀਬ ਮੁੱਲ ਭੇਜ ਕੇ ਸੀਐਸਆਰਐਫ ਹਮਲਿਆਂ ਨੂੰ ਰੋਕਦਾ ਹੈ।
• ਸੇਮਸਾਈਟ ਕੂਕੀਜ਼: ਇਹ ਯਕੀਨੀ ਬਣਾ ਕੇ ਕਿ ਕੂਕੀਜ਼ ਸਿਰਫ਼ ਉਸੇ ਸਾਈਟ ਤੋਂ ਬੇਨਤੀਆਂ ਨਾਲ ਭੇਜੀਆਂ ਜਾਣ ਸੀਐਸਆਰਐਫ ਜੋਖਮ ਘਟਾਉਂਦਾ ਹੈ।
• ਸੀਐਸਆਰਐਫ ਲਾਇਬ੍ਰੇਰੀਆਂ ਅਤੇ ਫਰੇਮਵਰਕ: ਵੱਖ-ਵੱਖ ਪ੍ਰੋਗਰਾਮਿੰਗ ਭਾਸ਼ਾਵਾਂ ਅਤੇ ਫਰੇਮਵਰਕ ਲਈ ਵਿਕਸਤ, ਸੀਐਸਆਰਐਫ ਸੁਰੱਖਿਆ ਪ੍ਰਦਾਨ ਕਰਨ ਵਾਲੇ ਤਿਆਰ ਹੱਲ ਪੇਸ਼ ਕਰਦਾ ਹੈ।
• ਬੇਨਤੀ ਸਿਰਲੇਖ ਨਿਯੰਤਰਣ (ਰੈਫਰਰ/ਮੂਲ): ਇਹ ਅਣਅਧਿਕਾਰਤ ਸਰੋਤਾਂ ਤੋਂ ਬੇਨਤੀਆਂ ਨੂੰ ਉਸ ਸਰੋਤ ਦੀ ਜਾਂਚ ਕਰਕੇ ਬਲੌਕ ਕਰਦਾ ਹੈ ਜਿੱਥੋਂ ਬੇਨਤੀ ਆਉਂਦੀ ਹੈ।

ਹੇਠਾਂ ਦਿੱਤੀ ਸਾਰਣੀ ਵਿੱਚ, ਵੱਖ-ਵੱਖ ਸੀਐਸਆਰਐਫ ਰੱਖਿਆ ਤਰੀਕਿਆਂ ਦੀਆਂ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਅਤੇ ਤੁਲਨਾ ਸੰਬੰਧੀ ਵਿਸਤ੍ਰਿਤ ਜਾਣਕਾਰੀ ਪ੍ਰਦਾਨ ਕੀਤੀ ਗਈ ਹੈ। ਇਹ ਜਾਣਕਾਰੀ ਇਹ ਫੈਸਲਾ ਕਰਨ ਵਿੱਚ ਮਦਦ ਕਰ ਸਕਦੀ ਹੈ ਕਿ ਹਰੇਕ ਦ੍ਰਿਸ਼ ਲਈ ਕਿਹੜਾ ਤਰੀਕਾ ਵਧੇਰੇ ਢੁਕਵਾਂ ਹੈ।

ਰੱਖਿਆ ਵਿਧੀ	ਵਿਆਖਿਆ	ਫਾਇਦੇ	ਨੁਕਸਾਨ
ਸਿੰਕ੍ਰੋਨਸ ਟੋਕਨ ਮਾਡਲ (STP)	ਹਰੇਕ ਫਾਰਮ ਲਈ ਵਿਲੱਖਣ ਟੋਕਨ ਤਿਆਰ ਕਰਨਾ	ਉੱਚ ਸੁਰੱਖਿਆ, ਵਿਆਪਕ ਵਰਤੋਂ	ਸਰਵਰ-ਸਾਈਡ ਓਵਰਹੈੱਡ, ਟੋਕਨ ਪ੍ਰਬੰਧਨ
ਕੂਕੀਜ਼ ਨੂੰ ਦੋ ਵਾਰ ਭੇਜੋ	ਕੂਕੀ ਅਤੇ ਬੇਨਤੀ ਪੈਰਾਮੀਟਰ ਵਿੱਚ ਇੱਕੋ ਮੁੱਲ ਹੈ।	ਸਧਾਰਨ ਲਾਗੂਕਰਨ, ਸਟੇਟਲੈੱਸ ਆਰਕੀਟੈਕਚਰ ਦੇ ਅਨੁਕੂਲ	ਸਬਡੋਮੇਨ ਸਮੱਸਿਆਵਾਂ, ਕੁਝ ਬ੍ਰਾਊਜ਼ਰ ਅਸੰਗਤਤਾਵਾਂ
ਸੇਮਸਾਈਟ ਕੂਕੀਜ਼	ਕੂਕੀਜ਼ ਨੂੰ ਸਾਈਟ ਤੋਂ ਬਾਹਰ ਦੀਆਂ ਬੇਨਤੀਆਂ ਤੋਂ ਬਲੌਕ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।	ਆਸਾਨ ਏਕੀਕਰਨ, ਬ੍ਰਾਊਜ਼ਰ-ਪੱਧਰ ਦੀ ਸੁਰੱਖਿਆ	ਪੁਰਾਣੇ ਬ੍ਰਾਊਜ਼ਰਾਂ ਨਾਲ ਅਸੰਗਤਤਾ ਕਰਾਸ-ਮੂਲ ਲੋੜਾਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰ ਸਕਦੀ ਹੈ।
ਹੈਡਰ ਜਾਂਚਾਂ ਦੀ ਬੇਨਤੀ ਕਰੋ	ਰੈਫਰਰ ਅਤੇ ਓਰੀਜਨ ਹੈੱਡਰਾਂ ਦੀ ਜਾਂਚ ਕਰਨਾ	ਸਧਾਰਨ ਤਸਦੀਕ, ਕੋਈ ਵਾਧੂ ਸਰਵਰ ਲੋਡ ਨਹੀਂ	ਸੁਰਖੀਆਂ ਵਿੱਚ ਹੇਰਾਫੇਰੀ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ, ਭਰੋਸੇਯੋਗਤਾ ਘੱਟ ਹੈ।

ਸੀਐਸਆਰਐਫ ਇੱਕ ਹੋਰ ਮਹੱਤਵਪੂਰਨ ਬਚਾਅ ਵਿਧੀ ਡਬਲ ਸਬਮਿਟ ਕੂਕੀਜ਼ ਹੈ। ਇਸ ਵਿਧੀ ਵਿੱਚ, ਸਰਵਰ ਇੱਕ ਬੇਤਰਤੀਬ ਮੁੱਲ ਤਿਆਰ ਕਰਦਾ ਹੈ ਅਤੇ ਇਸਨੂੰ ਕਲਾਇੰਟ ਨੂੰ ਕੂਕੀ ਦੇ ਰੂਪ ਵਿੱਚ ਭੇਜਦਾ ਹੈ ਅਤੇ ਇਸਨੂੰ ਫਾਰਮ ਵਿੱਚ ਇੱਕ ਲੁਕਵੇਂ ਖੇਤਰ ਵਿੱਚ ਰੱਖਦਾ ਹੈ। ਜਦੋਂ ਕਲਾਇੰਟ ਫਾਰਮ ਜਮ੍ਹਾਂ ਕਰਦਾ ਹੈ, ਤਾਂ ਕੂਕੀ ਵਿੱਚ ਮੁੱਲ ਅਤੇ ਫਾਰਮ ਵਿੱਚ ਮੁੱਲ ਦੋਵੇਂ ਸਰਵਰ ਨੂੰ ਭੇਜੇ ਜਾਂਦੇ ਹਨ। ਸਰਵਰ ਇਹ ਜਾਂਚ ਕਰਕੇ ਬੇਨਤੀ ਦੀ ਜਾਇਜ਼ਤਾ ਦੀ ਪੁਸ਼ਟੀ ਕਰਦਾ ਹੈ ਕਿ ਕੀ ਇਹ ਦੋਵੇਂ ਮੁੱਲ ਮੇਲ ਖਾਂਦੇ ਹਨ। ਇਹ ਵਿਧੀ ਖਾਸ ਤੌਰ 'ਤੇ ਸਟੇਟਲੈੱਸ ਐਪਲੀਕੇਸ਼ਨਾਂ ਲਈ ਢੁਕਵੀਂ ਹੈ ਅਤੇ ਇਸ ਲਈ ਕਿਸੇ ਵਾਧੂ ਸਰਵਰ-ਸਾਈਡ ਸੈਸ਼ਨ ਪ੍ਰਬੰਧਨ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ।

ਸੇਮਸਾਈਟ ਕੂਕੀਜ਼ ਵੀ ਸੀਐਸਆਰਐਫ ਇਹ ਹਮਲਿਆਂ ਦੇ ਵਿਰੁੱਧ ਇੱਕ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਰੱਖਿਆ ਵਿਧੀ ਹੈ। SameSite ਵਿਸ਼ੇਸ਼ਤਾ ਇਹ ਯਕੀਨੀ ਬਣਾਉਂਦੀ ਹੈ ਕਿ ਕੂਕੀਜ਼ ਸਿਰਫ਼ ਉਸੇ ਸਾਈਟ ਤੋਂ ਆਉਣ ਵਾਲੀਆਂ ਬੇਨਤੀਆਂ ਵਿੱਚ ਸ਼ਾਮਲ ਕੀਤੀਆਂ ਜਾਣ। ਇਸ ਵਿਸ਼ੇਸ਼ਤਾ ਦੇ ਨਾਲ, ਇੱਕ ਵੱਖਰੀ ਸਾਈਟ ਤੋਂ ਆਉਣ ਵਾਲੀਆਂ ਕੂਕੀਜ਼ ਸੀਐਸਆਰਐਫ ਹਮਲੇ ਆਪਣੇ ਆਪ ਬਲੌਕ ਹੋ ਜਾਂਦੇ ਹਨ। ਹਾਲਾਂਕਿ, ਕਿਉਂਕਿ SameSite ਕੂਕੀਜ਼ ਦੀ ਵਰਤੋਂ ਸਾਰੇ ਬ੍ਰਾਊਜ਼ਰਾਂ ਦੁਆਰਾ ਸਮਰਥਿਤ ਨਹੀਂ ਹੈ, ਇਸ ਲਈ ਉਹਨਾਂ ਨੂੰ ਹੋਰ ਰੱਖਿਆ ਤਰੀਕਿਆਂ ਦੇ ਨਾਲ ਜੋੜ ਕੇ ਵਰਤਣ ਦੀ ਸਿਫਾਰਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।

CSRF ਹਮਲਿਆਂ ਤੋਂ ਬਚਣ ਲਈ ਸੁਝਾਅ

CSRF (ਕਰਾਸ-ਸਾਈਟ ਬੇਨਤੀ ਜਾਅਲਸਾਜ਼ੀ) ਇਹਨਾਂ ਹਮਲਿਆਂ ਤੋਂ ਬਚਾਅ ਕਰਨਾ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੀ ਸੁਰੱਖਿਆ ਲਈ ਬਹੁਤ ਜ਼ਰੂਰੀ ਹੈ। ਇਹ ਹਮਲੇ ਉਪਭੋਗਤਾਵਾਂ ਦੀ ਜਾਣਕਾਰੀ ਜਾਂ ਸਹਿਮਤੀ ਤੋਂ ਬਿਨਾਂ ਅਣਅਧਿਕਾਰਤ ਕਾਰਵਾਈਆਂ ਕਰਨ ਲਈ ਤਿਆਰ ਕੀਤੇ ਗਏ ਹਨ। ਇਸ ਲਈ, ਡਿਵੈਲਪਰਾਂ ਅਤੇ ਸਿਸਟਮ ਪ੍ਰਸ਼ਾਸਕਾਂ ਨੂੰ ਇਹਨਾਂ ਕਿਸਮਾਂ ਦੇ ਹਮਲਿਆਂ ਦੇ ਵਿਰੁੱਧ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਰੱਖਿਆ ਵਿਧੀਆਂ ਨੂੰ ਲਾਗੂ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ। ਹੇਠ ਲਿਖੇ ਸੀਐਸਆਰਐਫ ਹਮਲਿਆਂ ਵਿਰੁੱਧ ਕੁਝ ਮੁੱਢਲੀਆਂ ਸਾਵਧਾਨੀਆਂ ਅਤੇ ਸੁਝਾਅ ਪੇਸ਼ ਕੀਤੇ ਗਏ ਹਨ।

ਸੀਐਸਆਰਐਫ ਹਮਲਿਆਂ ਤੋਂ ਬਚਾਅ ਲਈ ਕਈ ਤਰੀਕੇ ਹਨ। ਇਹਨਾਂ ਤਰੀਕਿਆਂ ਨੂੰ ਆਮ ਤੌਰ 'ਤੇ ਕਲਾਇੰਟ ਜਾਂ ਸਰਵਰ ਵਾਲੇ ਪਾਸੇ ਲਾਗੂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। ਸਭ ਤੋਂ ਵੱਧ ਵਰਤੇ ਜਾਣ ਵਾਲੇ ਤਰੀਕਿਆਂ ਵਿੱਚੋਂ ਇੱਕ ਹੈ ਸਿੰਕ੍ਰੋਨਾਈਜ਼ਰ ਟੋਕਨ ਪੈਟਰਨ (STP) ਇਸ ਵਿਧੀ ਵਿੱਚ, ਸਰਵਰ ਹਰੇਕ ਉਪਭੋਗਤਾ ਸੈਸ਼ਨ ਲਈ ਇੱਕ ਵਿਲੱਖਣ ਟੋਕਨ ਤਿਆਰ ਕਰਦਾ ਹੈ, ਜੋ ਕਿ ਉਪਭੋਗਤਾ ਦੁਆਰਾ ਕੀਤੇ ਗਏ ਹਰੇਕ ਫਾਰਮ ਜਮ੍ਹਾਂ ਕਰਨ ਅਤੇ ਮਹੱਤਵਪੂਰਨ ਲੈਣ-ਦੇਣ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ। ਸਰਵਰ ਆਉਣ ਵਾਲੀ ਬੇਨਤੀ ਵਿੱਚ ਟੋਕਨ ਦੀ ਸੈਸ਼ਨ ਵਿੱਚ ਟੋਕਨ ਨਾਲ ਤੁਲਨਾ ਕਰਕੇ ਬੇਨਤੀ ਦੀ ਵੈਧਤਾ ਦੀ ਪੁਸ਼ਟੀ ਕਰਦਾ ਹੈ।

ਇਸ ਤੋਂ ਇਲਾਵਾ, ਕੂਕੀ ਨੂੰ ਡਬਲ ਸਬਮਿਟ ਕਰੋ ਇਹ ਵਿਧੀ ਇੱਕ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਰੱਖਿਆ ਵਿਧੀ ਵੀ ਹੈ। ਇਸ ਵਿਧੀ ਵਿੱਚ, ਸਰਵਰ ਇੱਕ ਕੂਕੀ ਰਾਹੀਂ ਇੱਕ ਬੇਤਰਤੀਬ ਮੁੱਲ ਭੇਜਦਾ ਹੈ, ਅਤੇ ਕਲਾਇੰਟ-ਸਾਈਡ JavaScript ਕੋਡ ਇਸ ਮੁੱਲ ਨੂੰ ਇੱਕ ਫਾਰਮ ਫੀਲਡ ਜਾਂ ਇੱਕ ਕਸਟਮ ਹੈਡਰ ਵਿੱਚ ਪਾਉਂਦਾ ਹੈ। ਸਰਵਰ ਪੁਸ਼ਟੀ ਕਰਦਾ ਹੈ ਕਿ ਕੂਕੀ ਵਿੱਚ ਮੁੱਲ ਅਤੇ ਫਾਰਮ ਜਾਂ ਹੈਡਰ ਵਿੱਚ ਮੁੱਲ ਦੋਵੇਂ ਮੇਲ ਖਾਂਦੇ ਹਨ। ਇਹ ਵਿਧੀ ਖਾਸ ਤੌਰ 'ਤੇ API ਅਤੇ AJAX ਬੇਨਤੀਆਂ ਲਈ ਢੁਕਵੀਂ ਹੈ।

ਹੇਠਾਂ ਦਿੱਤੀ ਸਾਰਣੀ ਵਿੱਚ, ਸੀਐਸਆਰਐਫ ਹਮਲਿਆਂ ਦੇ ਵਿਰੁੱਧ ਵਰਤੇ ਜਾਣ ਵਾਲੇ ਕੁਝ ਬੁਨਿਆਦੀ ਬਚਾਅ ਤਰੀਕੇ ਅਤੇ ਉਨ੍ਹਾਂ ਦੀਆਂ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਦੀ ਤੁਲਨਾ ਸ਼ਾਮਲ ਕੀਤੀ ਗਈ ਹੈ।

ਰੱਖਿਆ ਵਿਧੀ	ਵਿਆਖਿਆ	ਫਾਇਦੇ	ਨੁਕਸਾਨ
ਸਿੰਕ੍ਰੋਨਾਈਜ਼ਿੰਗ ਟੋਕਨ ਪੈਟਰਨ (STP)	ਹਰੇਕ ਸੈਸ਼ਨ ਲਈ ਇੱਕ ਵਿਲੱਖਣ ਟੋਕਨ ਤਿਆਰ ਅਤੇ ਪ੍ਰਮਾਣਿਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।	ਉੱਚ ਸੁਰੱਖਿਆ, ਵਿਆਪਕ ਤੌਰ 'ਤੇ ਵਰਤੀ ਜਾਂਦੀ।	ਟੋਕਨ ਪ੍ਰਬੰਧਨ ਦੀ ਲੋੜ ਹੈ, ਇਹ ਗੁੰਝਲਦਾਰ ਹੋ ਸਕਦਾ ਹੈ।
ਕੂਕੀ ਨੂੰ ਦੋ ਵਾਰ ਭੇਜੋ	ਕੂਕੀ ਅਤੇ ਫਾਰਮ/ਹੈਡਰ ਵਿੱਚ ਇੱਕੋ ਮੁੱਲ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ।	ਸਧਾਰਨ ਲਾਗੂਕਰਨ, API ਲਈ ਢੁਕਵਾਂ।	ਜਾਵਾ ਸਕ੍ਰਿਪਟ ਦੀ ਲੋੜ ਹੈ, ਕੂਕੀ ਸੁਰੱਖਿਆ 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ।
ਸੇਮਸਾਈਟ ਕੂਕੀਜ਼	ਇਹ ਯਕੀਨੀ ਬਣਾਉਂਦਾ ਹੈ ਕਿ ਕੂਕੀਜ਼ ਸਿਰਫ਼ ਉਹੀ ਸਾਈਟ ਬੇਨਤੀਆਂ ਨਾਲ ਭੇਜੀਆਂ ਜਾਣ।	ਲਗਾਉਣ ਵਿੱਚ ਆਸਾਨ, ਸੁਰੱਖਿਆ ਦੀ ਇੱਕ ਵਾਧੂ ਪਰਤ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ।	ਇਹ ਪੁਰਾਣੇ ਬ੍ਰਾਊਜ਼ਰਾਂ ਵਿੱਚ ਸਮਰਥਿਤ ਨਹੀਂ ਹੋ ਸਕਦਾ ਹੈ ਅਤੇ ਪੂਰੀ ਸੁਰੱਖਿਆ ਪ੍ਰਦਾਨ ਨਹੀਂ ਕਰਦਾ ਹੈ।
ਰੈਫਰਰ ਚੈੱਕ	ਉਸ ਸਰੋਤ ਦੀ ਪੁਸ਼ਟੀ ਜਿਸ ਤੋਂ ਬੇਨਤੀ ਆਈ ਸੀ।	ਸਰਲ ਅਤੇ ਤੇਜ਼ ਨਿਯੰਤਰਣ ਸਹੂਲਤ।	ਰੈਫਰਰ ਸਿਰਲੇਖ ਨੂੰ ਹੇਰਾਫੇਰੀ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ ਅਤੇ ਇਸਦੀ ਭਰੋਸੇਯੋਗਤਾ ਘੱਟ ਹੈ।

ਹੇਠਾਂ, ਸੀਐਸਆਰਐਫ ਹਮਲਿਆਂ ਦੇ ਵਿਰੁੱਧ ਹੋਰ ਠੋਸ ਅਤੇ ਕਾਰਵਾਈਯੋਗ ਸੁਰੱਖਿਆ ਸੁਝਾਅ ਹਨ:

1. ਸਿੰਕ੍ਰੋਨਾਈਜ਼ਰ ਟੋਕਨ (STP) ਦੀ ਵਰਤੋਂ ਕਰੋ: ਹਰੇਕ ਉਪਭੋਗਤਾ ਸੈਸ਼ਨ ਲਈ ਵਿਲੱਖਣ ਸੀਐਸਆਰਐਫ ਟੋਕਨ ਤਿਆਰ ਕਰੋ ਅਤੇ ਫਾਰਮ ਜਮ੍ਹਾਂ ਕਰਨ 'ਤੇ ਉਨ੍ਹਾਂ ਨੂੰ ਪ੍ਰਮਾਣਿਤ ਕਰੋ।
2. ਡਬਲ-ਸੇਂਡ ਕੂਕੀ ਵਿਧੀ ਲਾਗੂ ਕਰੋ: ਜਾਂਚ ਕਰੋ ਕਿ ਕੂਕੀ ਅਤੇ ਫਾਰਮ ਖੇਤਰਾਂ ਵਿੱਚ ਮੁੱਲ ਮੇਲ ਖਾਂਦੇ ਹਨ, ਖਾਸ ਕਰਕੇ API ਅਤੇ AJAX ਬੇਨਤੀਆਂ ਵਿੱਚ।
3. SameSite ਕੂਕੀ ਵਿਸ਼ੇਸ਼ਤਾ ਦੀ ਵਰਤੋਂ ਕਰੋ: ਇਹ ਯਕੀਨੀ ਬਣਾ ਕੇ ਸੁਰੱਖਿਆ ਦੀ ਇੱਕ ਵਾਧੂ ਪਰਤ ਬਣਾਓ ਕਿ ਕੂਕੀਜ਼ ਸਿਰਫ਼ ਇੱਕੋ-ਸਾਈਟ ਬੇਨਤੀਆਂ ਨਾਲ ਹੀ ਭੇਜੀਆਂ ਜਾਣ। ਸਖ਼ਤ ਜਾਂ ਲਕਸ਼ ਆਪਣੇ ਵਿਕਲਪਾਂ ਦਾ ਮੁਲਾਂਕਣ ਕਰੋ।
4. HTTP ਹੈਡਰ ਸਹੀ ਢੰਗ ਨਾਲ ਸੈੱਟ ਕਰੋ: ਐਕਸ-ਫ੍ਰੇਮ-ਵਿਕਲਪ ਸਿਰਲੇਖ ਨਾਲ ਕਲਿੱਕਜੈਕਿੰਗ ਹਮਲਿਆਂ ਤੋਂ ਬਚਾਓ।
5. ਰੈਫਰਰ ਸਿਰਲੇਖ ਦੀ ਜਾਂਚ ਕਰੋ: ਉਸ ਸਰੋਤ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਲਈ ਜਿਸ ਤੋਂ ਬੇਨਤੀ ਆਈ ਸੀ ਰੈਫਰਰ ਸਿਰਲੇਖ ਦੀ ਜਾਂਚ ਕਰੋ, ਪਰ ਯਾਦ ਰੱਖੋ ਕਿ ਇਹ ਤਰੀਕਾ ਹੀ ਕਾਫ਼ੀ ਨਹੀਂ ਹੈ।
6. ਯੂਜ਼ਰ ਲੌਗਇਨ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ ਅਤੇ ਸਾਫ਼ ਕਰੋ: ਹਮੇਸ਼ਾ ਉਪਭੋਗਤਾ ਇਨਪੁਟ ਨੂੰ ਪ੍ਰਮਾਣਿਤ ਅਤੇ ਸੈਨੀਟਾਈਜ਼ ਕਰੋ। ਇਹ XSSLanguage ਇਹ ਹੋਰ ਤਰ੍ਹਾਂ ਦੇ ਹਮਲਿਆਂ ਤੋਂ ਵੀ ਸੁਰੱਖਿਆ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ ਜਿਵੇਂ ਕਿ।
7. ਨਿਯਮਤ ਸੁਰੱਖਿਆ ਟੈਸਟ ਕਰਵਾਓ: ਨਿਯਮਿਤ ਤੌਰ 'ਤੇ ਆਪਣੀ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨ ਦੀ ਸੁਰੱਖਿਆ ਜਾਂਚ ਕਰੋ ਅਤੇ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਪਛਾਣ ਕਰੋ ਅਤੇ ਉਨ੍ਹਾਂ ਨੂੰ ਹੱਲ ਕਰੋ।

ਇਹਨਾਂ ਉਪਾਵਾਂ ਤੋਂ ਇਲਾਵਾ, ਤੁਹਾਡੇ ਉਪਭੋਗਤਾ ਸੀਐਸਆਰਐਫ ਸੰਭਾਵੀ ਹਮਲਿਆਂ ਬਾਰੇ ਜਾਗਰੂਕਤਾ ਪੈਦਾ ਕਰਨਾ ਬਹੁਤ ਜ਼ਰੂਰੀ ਹੈ। ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਸਲਾਹ ਦਿੱਤੀ ਜਾਣੀ ਚਾਹੀਦੀ ਹੈ ਕਿ ਉਹ ਉਨ੍ਹਾਂ ਸਰੋਤਾਂ ਤੋਂ ਲਿੰਕਾਂ 'ਤੇ ਕਲਿੱਕ ਕਰਨ ਤੋਂ ਬਚਣ ਜਿਨ੍ਹਾਂ ਨੂੰ ਉਹ ਪਛਾਣਦੇ ਨਹੀਂ ਹਨ ਜਾਂ ਉਨ੍ਹਾਂ 'ਤੇ ਭਰੋਸਾ ਨਹੀਂ ਕਰਦੇ ਅਤੇ ਹਮੇਸ਼ਾ ਸੁਰੱਖਿਅਤ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੀ ਚੋਣ ਕਰਦੇ ਹਨ। ਇਹ ਯਾਦ ਰੱਖਣਾ ਮਹੱਤਵਪੂਰਨ ਹੈ ਕਿ ਸੁਰੱਖਿਆ ਇੱਕ ਬਹੁ-ਪੱਧਰੀ ਪਹੁੰਚ ਦੁਆਰਾ ਪ੍ਰਾਪਤ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਅਤੇ ਹਰੇਕ ਉਪਾਅ ਸਮੁੱਚੀ ਸੁਰੱਖਿਆ ਸਥਿਤੀ ਨੂੰ ਮਜ਼ਬੂਤ ਕਰਦਾ ਹੈ।

ਸੀਐਸਆਰਐਫ ਹਮਲਿਆਂ ਦੇ ਮੌਜੂਦਾ ਅੰਕੜੇ

ਸੀਐਸਆਰਐਫ ਕਰਾਸ-ਸਾਈਟ ਰਿਕਵੈਸਟ ਫੋਰਜੀ (CRF) ਹਮਲੇ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨਾਂ ਲਈ ਇੱਕ ਲਗਾਤਾਰ ਖ਼ਤਰਾ ਬਣੇ ਹੋਏ ਹਨ। ਮੌਜੂਦਾ ਅੰਕੜੇ ਇਹਨਾਂ ਹਮਲਿਆਂ ਦੇ ਪ੍ਰਸਾਰ ਅਤੇ ਸੰਭਾਵੀ ਪ੍ਰਭਾਵ ਨੂੰ ਉਜਾਗਰ ਕਰਦੇ ਹਨ। ਇਹ ਖਾਸ ਤੌਰ 'ਤੇ ਉੱਚ ਉਪਭੋਗਤਾ ਇੰਟਰੈਕਸ਼ਨ ਵਾਲੇ ਖੇਤਰਾਂ ਲਈ ਸੱਚ ਹੈ, ਜਿਵੇਂ ਕਿ ਈ-ਕਾਮਰਸ ਸਾਈਟਾਂ, ਬੈਂਕਿੰਗ ਐਪਲੀਕੇਸ਼ਨਾਂ, ਅਤੇ ਸੋਸ਼ਲ ਮੀਡੀਆ ਪਲੇਟਫਾਰਮ। ਸੀਐਸਆਰਐਫ ਉਹ ਹਮਲਿਆਂ ਲਈ ਆਕਰਸ਼ਕ ਨਿਸ਼ਾਨਾ ਹਨ। ਇਸ ਲਈ, ਡਿਵੈਲਪਰਾਂ ਅਤੇ ਸੁਰੱਖਿਆ ਮਾਹਰਾਂ ਲਈ ਇਸ ਕਿਸਮ ਦੇ ਹਮਲੇ ਤੋਂ ਜਾਣੂ ਹੋਣਾ ਅਤੇ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਰੱਖਿਆ ਵਿਧੀਆਂ ਵਿਕਸਤ ਕਰਨਾ ਬਹੁਤ ਜ਼ਰੂਰੀ ਹੈ।

ਮੌਜੂਦਾ ਅੰਕੜੇ

• 2023 yılında web uygulama saldırılarının %15’ini ਸੀਐਸਆਰਐਫ ਬਣਾਇਆ।
• ਈ-ਕਾਮਰਸ ਸਾਈਟਾਂ ਲਈ ਸੀਐਸਆਰਐਫ saldırılarında %20 artış gözlemlendi.
• ਵਿੱਤ ਖੇਤਰ ਵਿੱਚ ਸੀਐਸਆਰਐਫ kaynaklı veri ihlalleri %12 arttı.
• ਮੋਬਾਈਲ ਐਪਲੀਕੇਸ਼ਨਾਂ ਵਿੱਚ ਸੀਐਸਆਰਐਫ zafiyetleri son bir yılda %18 yükseldi.
• ਸੀਐਸਆਰਐਫ saldırılarının ortalama maliyeti bir önceki yıla göre %10 arttı.
• ਸਭ ਤੋਂ ਵੱਧ ਨਿਸ਼ਾਨਾ ਬਣਾਏ ਜਾਣ ਵਾਲੇ ਖੇਤਰਾਂ ਵਿੱਚ ਵਿੱਤ, ਪ੍ਰਚੂਨ ਅਤੇ ਸਿਹਤ ਸੰਭਾਲ ਸ਼ਾਮਲ ਹਨ।

ਹੇਠਾਂ ਦਿੱਤੀ ਸਾਰਣੀ ਵੱਖ-ਵੱਖ ਸੈਕਟਰਾਂ ਨੂੰ ਦਰਸਾਉਂਦੀ ਹੈ ਸੀਐਸਆਰਐਫ ਇਹ ਹਮਲਿਆਂ ਦੀ ਵੰਡ ਅਤੇ ਪ੍ਰਭਾਵ ਦਾ ਸਾਰ ਦਿੰਦਾ ਹੈ। ਇਹ ਡੇਟਾ ਜੋਖਮ ਮੁਲਾਂਕਣ ਕਰਨ ਅਤੇ ਸੁਰੱਖਿਆ ਉਪਾਵਾਂ ਨੂੰ ਲਾਗੂ ਕਰਨ ਵੇਲੇ ਵਿਚਾਰਨ ਲਈ ਮਹੱਤਵਪੂਰਨ ਜਾਣਕਾਰੀ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ।

ਸੈਕਟਰ	ਹਮਲੇ ਦੀ ਦਰ (%)	ਔਸਤ ਲਾਗਤ (TL)	ਡਾਟਾ ਉਲੰਘਣਾਵਾਂ ਦੀ ਗਿਣਤੀ
ਵਿੱਤ	25	500,000	15
ਈ-ਕਾਮਰਸ	20	350,000	12
ਸਿਹਤ	15	250,000	8
ਸੋਸ਼ਲ ਮੀਡੀਆ	10	150,000	5

ਸੀਐਸਆਰਐਫ ਮਾਲਵੇਅਰ ਹਮਲਿਆਂ ਦੇ ਪ੍ਰਭਾਵਾਂ ਨੂੰ ਘਟਾਉਣ ਲਈ, ਡਿਵੈਲਪਰਾਂ ਅਤੇ ਸਿਸਟਮ ਪ੍ਰਸ਼ਾਸਕਾਂ ਨੂੰ ਨਿਯਮਿਤ ਤੌਰ 'ਤੇ ਸੁਰੱਖਿਆ ਜਾਂਚ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ, ਅੱਪ-ਟੂ-ਡੇਟ ਸੁਰੱਖਿਆ ਪੈਚ ਲਾਗੂ ਕਰਨੇ ਚਾਹੀਦੇ ਹਨ, ਅਤੇ ਅਜਿਹੇ ਹਮਲਿਆਂ ਬਾਰੇ ਉਪਭੋਗਤਾ ਜਾਗਰੂਕਤਾ ਵਧਾਉਣੀ ਚਾਹੀਦੀ ਹੈ। ਸਿੰਕ੍ਰੋਨਾਈਜ਼ਰ ਟੋਕਨ ਅਤੇ ਡਬਲ ਸਬਮਿਟ ਕੂਕੀਜ਼ ਰੱਖਿਆ ਵਿਧੀਆਂ ਦੀ ਸਹੀ ਵਰਤੋਂ ਜਿਵੇਂ ਕਿ, ਸੀਐਸਆਰਐਫ ਤੁਹਾਡੇ ਹਮਲਿਆਂ ਦੀ ਸਫਲਤਾ ਦਰ ਨੂੰ ਕਾਫ਼ੀ ਘਟਾ ਸਕਦਾ ਹੈ।

ਸੁਰੱਖਿਆ ਖੋਜਕਰਤਾਵਾਂ ਦੁਆਰਾ ਪ੍ਰਕਾਸ਼ਿਤ ਰਿਪੋਰਟਾਂ, ਸੀਐਸਆਰਐਫ ਹਮਲੇ ਲਗਾਤਾਰ ਵਿਕਸਤ ਹੋ ਰਹੇ ਹਨ ਅਤੇ ਨਵੇਂ ਰੂਪ ਉਭਰ ਰਹੇ ਹਨ। ਇਸ ਲਈ, ਸੁਰੱਖਿਆ ਰਣਨੀਤੀਆਂ ਨੂੰ ਲਗਾਤਾਰ ਅੱਪਡੇਟ ਅਤੇ ਸੁਧਾਰਿਆ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ। ਸੁਰੱਖਿਆ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਪਛਾਣ ਕਰਨ ਅਤੇ ਉਨ੍ਹਾਂ ਨੂੰ ਦੂਰ ਕਰਨ ਲਈ ਇੱਕ ਸਰਗਰਮ ਪਹੁੰਚ ਅਪਣਾਉਂਦੇ ਹੋਏ, ਸੀਐਸਆਰਐਫ ਹਮਲਿਆਂ ਦੇ ਸੰਭਾਵੀ ਪ੍ਰਭਾਵ ਨੂੰ ਘੱਟ ਤੋਂ ਘੱਟ ਕਰੇਗਾ।

CSRF ਅਤੇ ਕਾਰਜ ਯੋਜਨਾ ਦੀ ਮਹੱਤਤਾ

CSRF (ਕਰਾਸ-ਸਾਈਟ ਬੇਨਤੀ ਜਾਅਲਸਾਜ਼ੀ) ਹਮਲੇ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੀ ਸੁਰੱਖਿਆ ਲਈ ਇੱਕ ਗੰਭੀਰ ਖ਼ਤਰਾ ਪੈਦਾ ਕਰਦੇ ਹਨ। ਇਹ ਹਮਲੇ ਇੱਕ ਅਧਿਕਾਰਤ ਉਪਭੋਗਤਾ ਨੂੰ ਅਣਜਾਣੇ ਵਿੱਚ ਖਤਰਨਾਕ ਕਾਰਵਾਈਆਂ ਕਰਨ ਦਾ ਕਾਰਨ ਬਣ ਸਕਦੇ ਹਨ। ਉਦਾਹਰਣ ਵਜੋਂ, ਇੱਕ ਹਮਲਾਵਰ ਇੱਕ ਉਪਭੋਗਤਾ ਦਾ ਪਾਸਵਰਡ ਬਦਲ ਸਕਦਾ ਹੈ, ਫੰਡ ਟ੍ਰਾਂਸਫਰ ਕਰ ਸਕਦਾ ਹੈ, ਜਾਂ ਸੰਵੇਦਨਸ਼ੀਲ ਡੇਟਾ ਵਿੱਚ ਹੇਰਾਫੇਰੀ ਕਰ ਸਕਦਾ ਹੈ। ਇਸ ਲਈ, ਸੀਐਸਆਰਐਫ ਸਾਈਬਰ ਹਮਲਿਆਂ ਵਿਰੁੱਧ ਇੱਕ ਸਰਗਰਮ ਪਹੁੰਚ ਅਪਣਾਉਣਾ ਅਤੇ ਇੱਕ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਕਾਰਜ ਯੋਜਨਾ ਬਣਾਉਣਾ ਬਹੁਤ ਜ਼ਰੂਰੀ ਹੈ।

ਜੋਖਮ ਪੱਧਰ	ਸੰਭਾਵੀ ਪ੍ਰਭਾਵ	ਰੋਕਥਾਮ ਦੇ ਉਪਾਅ
ਉੱਚ	ਉਪਭੋਗਤਾ ਖਾਤੇ ਨਾਲ ਸਮਝੌਤਾ, ਡੇਟਾ ਉਲੰਘਣਾ, ਵਿੱਤੀ ਨੁਕਸਾਨ	ਸੀਐਸਆਰਐਫ ਟੋਕਨ, SameSite ਕੂਕੀਜ਼, ਦੋ-ਕਾਰਕ ਪ੍ਰਮਾਣੀਕਰਨ
ਮਿਡਲ	ਅਣਚਾਹੇ ਪ੍ਰੋਫਾਈਲ ਬਦਲਾਅ, ਅਣਅਧਿਕਾਰਤ ਸਮੱਗਰੀ ਪ੍ਰਕਾਸ਼ਨ	ਰੈਫਰਰ ਕੰਟਰੋਲ, ਓਪਰੇਸ਼ਨ ਜਿਨ੍ਹਾਂ ਲਈ ਉਪਭੋਗਤਾ ਇੰਟਰੈਕਸ਼ਨ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ
ਘੱਟ	ਡਾਟਾ ਵਿੱਚ ਛੋਟੀਆਂ ਹੇਰਾਫੇਰੀਆਂ, ਵਿਘਨਕਾਰੀ ਕਾਰਵਾਈਆਂ	ਸਰਲ ਤਸਦੀਕ ਵਿਧੀ, ਦਰ ਸੀਮਾ
ਅਨਿਸ਼ਚਿਤ	ਸਿਸਟਮ ਕਮਜ਼ੋਰੀਆਂ ਦੇ ਕਾਰਨ ਪ੍ਰਭਾਵ, ਅਣਪਛਾਤੇ ਨਤੀਜੇ	ਲਗਾਤਾਰ ਸੁਰੱਖਿਆ ਸਕੈਨ, ਕੋਡ ਸਮੀਖਿਆਵਾਂ

ਕਾਰਜ ਯੋਜਨਾ, ਤੁਹਾਡੀ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨ ਸੀਐਸਆਰਐਫ ਇਸ ਵਿੱਚ ਹਮਲਿਆਂ ਦੇ ਵਿਰੁੱਧ ਲਚਕੀਲਾਪਣ ਵਧਾਉਣ ਲਈ ਚੁੱਕੇ ਜਾਣ ਵਾਲੇ ਕਦਮ ਸ਼ਾਮਲ ਹਨ। ਇਹ ਯੋਜਨਾ ਵੱਖ-ਵੱਖ ਪੜਾਵਾਂ ਨੂੰ ਕਵਰ ਕਰਦੀ ਹੈ ਜਿਵੇਂ ਕਿ ਜੋਖਮ ਮੁਲਾਂਕਣ, ਸੁਰੱਖਿਆ ਉਪਾਵਾਂ ਨੂੰ ਲਾਗੂ ਕਰਨਾ, ਟੈਸਟਿੰਗ ਪ੍ਰਕਿਰਿਆਵਾਂ ਅਤੇ ਨਿਰੰਤਰ ਨਿਗਰਾਨੀ। ਇਹ ਨਹੀਂ ਭੁੱਲਣਾ ਚਾਹੀਦਾ ਕਿ, ਸੀਐਸਆਰਐਫਜਿਨ੍ਹਾਂ ਉਪਾਵਾਂ ਵਿਰੁੱਧ ਚੁੱਕੇ ਜਾਣੇ ਚਾਹੀਦੇ ਹਨ ਉਹ ਸਿਰਫ਼ ਤਕਨੀਕੀ ਹੱਲਾਂ ਤੱਕ ਹੀ ਸੀਮਿਤ ਨਹੀਂ ਹੋਣੇ ਚਾਹੀਦੇ, ਸਗੋਂ ਉਪਭੋਗਤਾ ਜਾਗਰੂਕਤਾ ਸਿਖਲਾਈ ਵੀ ਸ਼ਾਮਲ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ।

ਕਾਰਜ ਯੋਜਨਾ

1. ਖਤਰੇ ਦਾ ਜਾਇਜਾ: ਤੁਹਾਡੀ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨ ਵਿੱਚ ਸੰਭਾਵਨਾ ਸੀਐਸਆਰਐਫ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਪਛਾਣ ਕਰੋ।
2. ਸੀਐਸਆਰਐਫ ਟੋਕਨ ਐਪਲੀਕੇਸ਼ਨ: ਸਾਰੇ ਮਹੱਤਵਪੂਰਨ ਫਾਰਮਾਂ ਅਤੇ API ਬੇਨਤੀਆਂ ਲਈ ਵਿਲੱਖਣ ਸੀਐਸਆਰਐਫ ਟੋਕਨਾਂ ਦੀ ਵਰਤੋਂ ਕਰੋ।
3. ਸੇਮਸਾਈਟ ਕੂਕੀਜ਼: ਆਪਣੀਆਂ ਕੂਕੀਜ਼ ਨੂੰ SameSite ਵਿਸ਼ੇਸ਼ਤਾ ਨਾਲ ਸੁਰੱਖਿਅਤ ਕਰੋ ਤਾਂ ਜੋ ਉਹਨਾਂ ਨੂੰ ਕਰਾਸ-ਸਾਈਟ ਬੇਨਤੀਆਂ ਵਿੱਚ ਭੇਜੇ ਜਾਣ ਤੋਂ ਰੋਕਿਆ ਜਾ ਸਕੇ।
4. ਹਵਾਲਾ ਜਾਂਚ: ਆਉਣ ਵਾਲੀਆਂ ਬੇਨਤੀਆਂ ਦੇ ਸਰੋਤ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ ਅਤੇ ਸ਼ੱਕੀ ਬੇਨਤੀਆਂ ਨੂੰ ਬਲੌਕ ਕਰੋ।
5. ਉਪਭੋਗਤਾ ਜਾਗਰੂਕਤਾ: ਆਪਣੇ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਫਿਸ਼ਿੰਗ ਅਤੇ ਹੋਰ ਸੋਸ਼ਲ ਇੰਜੀਨੀਅਰਿੰਗ ਹਮਲਿਆਂ ਬਾਰੇ ਸਿੱਖਿਅਤ ਕਰੋ।
6. ਸੁਰੱਖਿਆ ਟੈਸਟ: ਨਿਯਮਿਤ ਤੌਰ 'ਤੇ ਪ੍ਰਵੇਸ਼ ਟੈਸਟ ਅਤੇ ਸੁਰੱਖਿਆ ਸਕੈਨ ਕਰਕੇ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਪਛਾਣ ਕਰੋ।
7. ਨਿਰੰਤਰ ਨਿਗਰਾਨੀ: ਤੁਹਾਡੀ ਅਰਜ਼ੀ ਵਿੱਚ ਅਸਧਾਰਨ ਗਤੀਵਿਧੀਆਂ ਦੀ ਨਿਗਰਾਨੀ ਕਰਨਾ ਸੀਐਸਆਰਐਫ ਹਮਲਿਆਂ ਦਾ ਪਤਾ ਲਗਾਓ।

ਇੱਕ ਸਫਲ ਸੀਐਸਆਰਐਫ ਇੱਕ ਰੱਖਿਆਤਮਕ ਰਣਨੀਤੀ ਦੀ ਲਗਾਤਾਰ ਚੌਕਸੀ ਅਤੇ ਅੱਪਡੇਟ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ। ਕਿਉਂਕਿ ਵੈੱਬ ਤਕਨਾਲੋਜੀਆਂ ਅਤੇ ਹਮਲੇ ਦੇ ਤਰੀਕੇ ਲਗਾਤਾਰ ਬਦਲਦੇ ਰਹਿੰਦੇ ਹਨ, ਤੁਹਾਨੂੰ ਨਿਯਮਿਤ ਤੌਰ 'ਤੇ ਆਪਣੇ ਸੁਰੱਖਿਆ ਉਪਾਵਾਂ ਦੀ ਸਮੀਖਿਆ ਅਤੇ ਅੱਪਡੇਟ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ। ਨਾਲ ਹੀ, ਤੁਹਾਡੀ ਵਿਕਾਸ ਟੀਮ ਸੀਐਸਆਰਐਫ ਅਤੇ ਹੋਰ ਵੈੱਬ ਕਮਜ਼ੋਰੀਆਂ ਤੁਹਾਡੀ ਐਪਲੀਕੇਸ਼ਨ ਦੀ ਸੁਰੱਖਿਆ ਨੂੰ ਯਕੀਨੀ ਬਣਾਉਣ ਲਈ ਚੁੱਕੇ ਜਾਣ ਵਾਲੇ ਸਭ ਤੋਂ ਮਹੱਤਵਪੂਰਨ ਕਦਮਾਂ ਵਿੱਚੋਂ ਇੱਕ ਹੈ। ਇੱਕ ਸੁਰੱਖਿਅਤ ਵੈੱਬ ਵਾਤਾਵਰਣ ਲਈ, ਸੀਐਸਆਰਐਫਇਸ ਤੋਂ ਜਾਣੂ ਹੋਣਾ ਅਤੇ ਤਿਆਰ ਰਹਿਣਾ ਬਹੁਤ ਜ਼ਰੂਰੀ ਹੈ।

CSRF ਨਾਲ ਨਜਿੱਠਣ ਦੇ ਸਭ ਤੋਂ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਤਰੀਕੇ

ਸੀਐਸਆਰਐਫ ਕਰਾਸ-ਸਾਈਟ ਰਿਕੁਐਸਟ ਫੋਰਜੀ (CRF) ਹਮਲੇ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੀ ਸੁਰੱਖਿਆ ਲਈ ਇੱਕ ਗੰਭੀਰ ਖ਼ਤਰਾ ਹਨ। ਇਹ ਹਮਲੇ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਉਨ੍ਹਾਂ ਦੀ ਜਾਣਕਾਰੀ ਜਾਂ ਸਹਿਮਤੀ ਤੋਂ ਬਿਨਾਂ ਅਣਅਧਿਕਾਰਤ ਕਾਰਵਾਈਆਂ ਕਰਨ ਦੀ ਆਗਿਆ ਦੇ ਸਕਦੇ ਹਨ। ਸੀਐਸਆਰਐਫ ਹਮਲਿਆਂ ਨਾਲ ਨਜਿੱਠਣ ਲਈ ਕਈ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਤਰੀਕੇ ਹਨ, ਅਤੇ ਇਹਨਾਂ ਤਰੀਕਿਆਂ ਨੂੰ ਸਹੀ ਢੰਗ ਨਾਲ ਲਾਗੂ ਕਰਨ ਨਾਲ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੀ ਸੁਰੱਖਿਆ ਵਿੱਚ ਕਾਫ਼ੀ ਵਾਧਾ ਹੋ ਸਕਦਾ ਹੈ। ਇਸ ਭਾਗ ਵਿੱਚ, ਸੀਐਸਆਰਐਫ ਅਸੀਂ ਹਮਲਿਆਂ ਦੇ ਵਿਰੁੱਧ ਸਭ ਤੋਂ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਤਰੀਕਿਆਂ ਅਤੇ ਰਣਨੀਤੀਆਂ ਦੀ ਜਾਂਚ ਕਰਾਂਗੇ।

ਢੰਗ	ਵਿਆਖਿਆ	ਲਾਗੂ ਕਰਨ ਵਿੱਚ ਮੁਸ਼ਕਲ
ਸਿੰਕ੍ਰੋਨਾਈਜ਼ਡ ਟੋਕਨ ਪੈਟਰਨ (STP)	ਹਰੇਕ ਉਪਭੋਗਤਾ ਸੈਸ਼ਨ ਲਈ ਇੱਕ ਵਿਲੱਖਣ ਟੋਕਨ ਤਿਆਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ ਇਸ ਟੋਕਨ ਦੀ ਹਰੇਕ ਫਾਰਮ ਜਮ੍ਹਾਂ ਕਰਨ 'ਤੇ ਜਾਂਚ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।	ਮਿਡਲ
ਕੂਕੀ ਨੂੰ ਡਬਲ ਸਬਮਿਟ ਕਰੋ	ਕੂਕੀ ਅਤੇ ਫਾਰਮ ਫੀਲਡ ਵਿੱਚ ਇੱਕੋ ਮੁੱਲ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ; ਸਰਵਰ ਪੁਸ਼ਟੀ ਕਰਦਾ ਹੈ ਕਿ ਮੁੱਲ ਮੇਲ ਖਾਂਦੇ ਹਨ।	ਆਸਾਨ
SameSite ਕੂਕੀ ਵਿਸ਼ੇਸ਼ਤਾ	ਇਹ ਯਕੀਨੀ ਬਣਾਉਂਦਾ ਹੈ ਕਿ ਕੂਕੀਜ਼ ਸਿਰਫ਼ ਇੱਕੋ-ਸਾਈਟ ਬੇਨਤੀਆਂ ਨਾਲ ਭੇਜੀਆਂ ਜਾਂਦੀਆਂ ਹਨ, ਇਸ ਲਈ ਕਰਾਸ-ਸਾਈਟ ਬੇਨਤੀਆਂ ਨਾਲ ਕੋਈ ਵੀ ਕੂਕੀਜ਼ ਨਹੀਂ ਭੇਜੀਆਂ ਜਾਂਦੀਆਂ।	ਆਸਾਨ
ਰੈਫਰਰ ਹੈਡਰ ਕੰਟਰੋਲ	ਇਹ ਅਣਅਧਿਕਾਰਤ ਸਰੋਤਾਂ ਤੋਂ ਬੇਨਤੀਆਂ ਨੂੰ ਉਸ ਸਰੋਤ ਦੀ ਜਾਂਚ ਕਰਕੇ ਬਲੌਕ ਕਰਦਾ ਹੈ ਜਿੱਥੋਂ ਬੇਨਤੀ ਆਉਂਦੀ ਹੈ।	ਮਿਡਲ

ਸੀਐਸਆਰਐਫ ਇਹਨਾਂ ਹਮਲਿਆਂ ਤੋਂ ਬਚਾਅ ਲਈ ਸਭ ਤੋਂ ਆਮ ਅਤੇ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਤਰੀਕਿਆਂ ਵਿੱਚੋਂ ਇੱਕ ਸਿੰਕ੍ਰੋਨਾਈਜ਼ਡ ਟੋਕਨ ਪੈਟਰਨ (STP) ਦੀ ਵਰਤੋਂ ਕਰਨਾ ਹੈ। STP ਵਿੱਚ ਹਰੇਕ ਉਪਭੋਗਤਾ ਸੈਸ਼ਨ ਲਈ ਇੱਕ ਵਿਲੱਖਣ ਟੋਕਨ ਤਿਆਰ ਕਰਨਾ ਅਤੇ ਹਰੇਕ ਫਾਰਮ ਸਬਮਿਸ਼ਨ 'ਤੇ ਇਸਨੂੰ ਪ੍ਰਮਾਣਿਤ ਕਰਨਾ ਸ਼ਾਮਲ ਹੈ। ਇਹ ਟੋਕਨ ਆਮ ਤੌਰ 'ਤੇ ਇੱਕ ਲੁਕਵੇਂ ਫਾਰਮ ਖੇਤਰ ਜਾਂ ਇੱਕ HTTP ਹੈਡਰ ਵਿੱਚ ਭੇਜਿਆ ਜਾਂਦਾ ਹੈ ਅਤੇ ਸਰਵਰ-ਸਾਈਡ 'ਤੇ ਪ੍ਰਮਾਣਿਤ ਹੁੰਦਾ ਹੈ। ਇਹ ਹਮਲਾਵਰਾਂ ਨੂੰ ਇੱਕ ਵੈਧ ਟੋਕਨ ਤੋਂ ਬਿਨਾਂ ਅਣਅਧਿਕਾਰਤ ਬੇਨਤੀਆਂ ਭੇਜਣ ਤੋਂ ਰੋਕਦਾ ਹੈ।

ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਤਰੀਕੇ

• ਸਿੰਕ੍ਰੋਨਾਈਜ਼ਡ ਟੋਕਨ ਪੈਟਰਨ (STP) ਲਾਗੂ ਕਰਨਾ
• ਡਬਲ ਸਬਮਿਟ ਕੂਕੀ ਵਿਧੀ ਦੀ ਵਰਤੋਂ ਕਰਨਾ
• SameSite ਕੂਕੀ ਵਿਸ਼ੇਸ਼ਤਾ ਨੂੰ ਸਮਰੱਥ ਬਣਾਉਣਾ
• ਬੇਨਤੀਆਂ ਦੇ ਸਰੋਤ ਦੀ ਜਾਂਚ ਕਰਨਾ (ਰੈਫਰਰ ਹੈਡਰ)
• ਯੂਜ਼ਰ ਇਨਪੁੱਟ ਅਤੇ ਆਉਟਪੁੱਟ ਦੀ ਧਿਆਨ ਨਾਲ ਪੁਸ਼ਟੀ ਕਰੋ।
• ਸੁਰੱਖਿਆ ਦੀਆਂ ਵਾਧੂ ਪਰਤਾਂ ਜੋੜਨਾ (ਜਿਵੇਂ ਕਿ ਕੈਪਚਾ)

ਇੱਕ ਹੋਰ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਤਰੀਕਾ ਡਬਲ ਸਬਮਿਟ ਕੂਕੀ ਤਕਨੀਕ ਹੈ। ਇਸ ਤਕਨੀਕ ਵਿੱਚ, ਸਰਵਰ ਇੱਕ ਕੂਕੀ ਵਿੱਚ ਇੱਕ ਬੇਤਰਤੀਬ ਮੁੱਲ ਸੈੱਟ ਕਰਦਾ ਹੈ ਅਤੇ ਇੱਕ ਫਾਰਮ ਖੇਤਰ ਵਿੱਚ ਉਹੀ ਮੁੱਲ ਵਰਤਦਾ ਹੈ। ਜਦੋਂ ਫਾਰਮ ਜਮ੍ਹਾਂ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਸਰਵਰ ਇਹ ਦੇਖਣ ਲਈ ਜਾਂਚ ਕਰਦਾ ਹੈ ਕਿ ਕੀ ਕੂਕੀ ਅਤੇ ਫਾਰਮ ਖੇਤਰ ਵਿੱਚ ਮੁੱਲ ਮੇਲ ਖਾਂਦੇ ਹਨ। ਜੇਕਰ ਮੁੱਲ ਮੇਲ ਨਹੀਂ ਖਾਂਦੇ, ਤਾਂ ਬੇਨਤੀ ਨੂੰ ਰੱਦ ਕਰ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ। ਇਹ ਵਿਧੀ ਸੀਐਸਆਰਐਫ ਇਹ ਕੂਕੀ ਹਮਲਿਆਂ ਨੂੰ ਰੋਕਣ ਵਿੱਚ ਬਹੁਤ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਹੈ ਕਿਉਂਕਿ ਹਮਲਾਵਰ ਕੂਕੀ ਮੁੱਲ ਨੂੰ ਪੜ੍ਹ ਜਾਂ ਬਦਲ ਨਹੀਂ ਸਕਦੇ।

SameSite ਕੂਕੀ ਵਿਸ਼ੇਸ਼ਤਾ ਸੀਐਸਆਰਐਫ ਇਹ ਹਮਲਿਆਂ ਦੇ ਵਿਰੁੱਧ ਇੱਕ ਮਹੱਤਵਪੂਰਨ ਰੱਖਿਆ ਵਿਧੀ ਹੈ। SameSite ਵਿਸ਼ੇਸ਼ਤਾ ਇਹ ਯਕੀਨੀ ਬਣਾਉਂਦੀ ਹੈ ਕਿ ਕੂਕੀਜ਼ ਸਿਰਫ਼ ਇੱਕੋ-ਸਾਈਟ ਬੇਨਤੀਆਂ ਨਾਲ ਭੇਜੀਆਂ ਜਾਂਦੀਆਂ ਹਨ। ਇਹ ਕੂਕੀਜ਼ ਨੂੰ ਕਰਾਸ-ਸਾਈਟ ਬੇਨਤੀਆਂ ਵਿੱਚ ਆਪਣੇ ਆਪ ਭੇਜਣ ਤੋਂ ਰੋਕਦਾ ਹੈ, ਇਸ ਤਰ੍ਹਾਂ ਸੀਐਸਆਰਐਫ ਇਹ ਵਿਸ਼ੇਸ਼ਤਾ ਸਫਲ ਹਮਲਿਆਂ ਦੀ ਸੰਭਾਵਨਾ ਨੂੰ ਘਟਾਉਂਦੀ ਹੈ। ਇਸ ਵਿਸ਼ੇਸ਼ਤਾ ਨੂੰ ਸਮਰੱਥ ਬਣਾਉਣਾ ਆਧੁਨਿਕ ਵੈੱਬ ਬ੍ਰਾਊਜ਼ਰਾਂ ਵਿੱਚ ਮੁਕਾਬਲਤਨ ਆਸਾਨ ਹੈ ਅਤੇ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੀ ਸੁਰੱਖਿਆ ਨੂੰ ਬਿਹਤਰ ਬਣਾਉਣ ਲਈ ਇੱਕ ਮਹੱਤਵਪੂਰਨ ਕਦਮ ਹੈ।

ਅਕਸਰ ਪੁੱਛੇ ਜਾਣ ਵਾਲੇ ਸਵਾਲ

CSRF ਹਮਲੇ ਦੀ ਸਥਿਤੀ ਵਿੱਚ, ਮੇਰੇ ਉਪਭੋਗਤਾ ਖਾਤੇ ਨਾਲ ਸਮਝੌਤਾ ਕੀਤੇ ਬਿਨਾਂ ਕਿਹੜੀਆਂ ਕਾਰਵਾਈਆਂ ਕੀਤੀਆਂ ਜਾ ਸਕਦੀਆਂ ਹਨ?

CSRF ਹਮਲਿਆਂ ਦਾ ਉਦੇਸ਼ ਆਮ ਤੌਰ 'ਤੇ ਕਿਸੇ ਉਪਭੋਗਤਾ ਦੇ ਲੌਗਇਨ ਹੋਣ 'ਤੇ ਉਸ ਵੱਲੋਂ ਅਣਅਧਿਕਾਰਤ ਕਾਰਵਾਈਆਂ ਕਰਨਾ ਹੁੰਦਾ ਹੈ, ਨਾ ਕਿ ਉਹਨਾਂ ਦੇ ਪ੍ਰਮਾਣ ਪੱਤਰ ਚੋਰੀ ਕਰਨਾ। ਉਦਾਹਰਣ ਵਜੋਂ, ਉਹ ਆਪਣਾ ਪਾਸਵਰਡ ਬਦਲਣ, ਆਪਣਾ ਈਮੇਲ ਪਤਾ ਅਪਡੇਟ ਕਰਨ, ਫੰਡ ਟ੍ਰਾਂਸਫਰ ਕਰਨ, ਜਾਂ ਫੋਰਮਾਂ/ਸੋਸ਼ਲ ਮੀਡੀਆ 'ਤੇ ਪੋਸਟ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰ ਸਕਦੇ ਹਨ। ਹਮਲਾਵਰ ਉਹ ਕਾਰਵਾਈਆਂ ਕਰਦਾ ਹੈ ਜੋ ਉਪਭੋਗਤਾ ਨੂੰ ਉਹਨਾਂ ਦੀ ਜਾਣਕਾਰੀ ਤੋਂ ਬਿਨਾਂ ਕਰਨ ਲਈ ਪਹਿਲਾਂ ਹੀ ਅਧਿਕਾਰਤ ਹਨ।

CSRF ਹਮਲਿਆਂ ਦੇ ਸਫਲ ਹੋਣ ਲਈ ਉਪਭੋਗਤਾ ਨੂੰ ਕਿਹੜੀਆਂ ਸ਼ਰਤਾਂ ਪੂਰੀਆਂ ਕਰਨੀਆਂ ਚਾਹੀਦੀਆਂ ਹਨ?

CSRF ਹਮਲੇ ਦੇ ਸਫਲ ਹੋਣ ਲਈ, ਉਪਭੋਗਤਾ ਨੂੰ ਨਿਸ਼ਾਨਾ ਵੈੱਬਸਾਈਟ ਵਿੱਚ ਲੌਗਇਨ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਹਮਲਾਵਰ ਨੂੰ ਉਸ ਸਾਈਟ ਦੇ ਸਮਾਨ ਬੇਨਤੀ ਭੇਜਣ ਦੇ ਯੋਗ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ ਜਿਸ ਵਿੱਚ ਉਪਭੋਗਤਾ ਲੌਗਇਨ ਹੈ। ਅਸਲ ਵਿੱਚ, ਉਪਭੋਗਤਾ ਨੂੰ ਨਿਸ਼ਾਨਾ ਵੈੱਬਸਾਈਟ 'ਤੇ ਪ੍ਰਮਾਣਿਤ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਹਮਲਾਵਰ ਨੂੰ ਉਸ ਪ੍ਰਮਾਣੀਕਰਨ ਨੂੰ ਧੋਖਾ ਦੇਣ ਦੇ ਯੋਗ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ।

CSRF ਟੋਕਨ ਬਿਲਕੁਲ ਕਿਵੇਂ ਕੰਮ ਕਰਦੇ ਹਨ ਅਤੇ ਇਹ ਇੰਨੇ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਰੱਖਿਆ ਵਿਧੀ ਕਿਉਂ ਹਨ?

CSRF ਟੋਕਨ ਹਰੇਕ ਉਪਭੋਗਤਾ ਸੈਸ਼ਨ ਲਈ ਇੱਕ ਵਿਲੱਖਣ ਅਤੇ ਅੰਦਾਜ਼ਾ ਲਗਾਉਣ ਵਿੱਚ ਮੁਸ਼ਕਲ ਮੁੱਲ ਪੈਦਾ ਕਰਦੇ ਹਨ। ਇਹ ਟੋਕਨ ਸਰਵਰ ਦੁਆਰਾ ਤਿਆਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ ਇੱਕ ਫਾਰਮ ਜਾਂ ਲਿੰਕ ਰਾਹੀਂ ਕਲਾਇੰਟ ਨੂੰ ਭੇਜਿਆ ਜਾਂਦਾ ਹੈ। ਜਦੋਂ ਕਲਾਇੰਟ ਸਰਵਰ ਨੂੰ ਇੱਕ ਬੇਨਤੀ ਜਮ੍ਹਾਂ ਕਰਦਾ ਹੈ, ਤਾਂ ਇਸ ਵਿੱਚ ਇਹ ਟੋਕਨ ਸ਼ਾਮਲ ਹੁੰਦਾ ਹੈ। ਸਰਵਰ ਆਉਣ ਵਾਲੀ ਬੇਨਤੀ ਦੇ ਟੋਕਨ ਦੀ ਤੁਲਨਾ ਉਮੀਦ ਕੀਤੇ ਟੋਕਨ ਨਾਲ ਕਰਦਾ ਹੈ ਅਤੇ ਜੇਕਰ ਕੋਈ ਮੇਲ ਨਹੀਂ ਹੁੰਦਾ ਤਾਂ ਬੇਨਤੀ ਨੂੰ ਰੱਦ ਕਰ ਦਿੰਦਾ ਹੈ। ਇਹ ਹਮਲਾਵਰ ਲਈ ਸਵੈ-ਤਿਆਰ ਬੇਨਤੀ ਵਾਲੇ ਉਪਭੋਗਤਾ ਦੀ ਨਕਲ ਕਰਨਾ ਮੁਸ਼ਕਲ ਬਣਾਉਂਦਾ ਹੈ, ਕਿਉਂਕਿ ਉਹਨਾਂ ਕੋਲ ਇੱਕ ਵੈਧ ਟੋਕਨ ਨਹੀਂ ਹੋਵੇਗਾ।

SameSite ਕੂਕੀਜ਼ CSRF ਹਮਲਿਆਂ ਤੋਂ ਕਿਵੇਂ ਬਚਾਉਂਦੀਆਂ ਹਨ ਅਤੇ ਉਨ੍ਹਾਂ ਦੀਆਂ ਕਿਹੜੀਆਂ ਸੀਮਾਵਾਂ ਹਨ?

SameSite ਕੂਕੀਜ਼ CSRF ਹਮਲਿਆਂ ਨੂੰ ਘੱਟ ਕਰਦੀਆਂ ਹਨ, ਸਿਰਫ਼ ਇੱਕੋ ਸਾਈਟ ਤੋਂ ਆਉਣ ਵਾਲੀਆਂ ਬੇਨਤੀਆਂ ਨਾਲ ਹੀ ਕੂਕੀ ਭੇਜਣ ਦੀ ਆਗਿਆ ਦੇ ਕੇ। ਤਿੰਨ ਵੱਖ-ਵੱਖ ਮੁੱਲ ਹਨ: Strict (ਕੂਕੀ ਸਿਰਫ਼ ਇੱਕੋ ਸਾਈਟ ਦੇ ਅੰਦਰ ਬੇਨਤੀਆਂ ਨਾਲ ਭੇਜੀ ਜਾਂਦੀ ਹੈ), Lax (ਕੂਕੀ ਨੂੰ ਔਨ-ਸਾਈਟ ਅਤੇ ਸੁਰੱਖਿਅਤ (HTTPS) ਆਫ-ਸਾਈਟ ਬੇਨਤੀਆਂ ਦੋਵਾਂ ਨਾਲ ਭੇਜਿਆ ਜਾਂਦਾ ਹੈ), ਅਤੇ None (ਕੂਕੀ ਨੂੰ ਹਰ ਬੇਨਤੀ ਨਾਲ ਭੇਜਿਆ ਜਾਂਦਾ ਹੈ)। ਜਦੋਂ ਕਿ 'Strict' ਸਭ ਤੋਂ ਮਜ਼ਬੂਤ ਸੁਰੱਖਿਆ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ, ਇਹ ਕੁਝ ਮਾਮਲਿਆਂ ਵਿੱਚ ਉਪਭੋਗਤਾ ਅਨੁਭਵ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰ ਸਕਦਾ ਹੈ। 'None' ਨੂੰ 'Secure' ਦੇ ਨਾਲ ਜੋੜ ਕੇ ਵਰਤਿਆ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ ਅਤੇ ਸਭ ਤੋਂ ਕਮਜ਼ੋਰ ਸੁਰੱਖਿਆ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ। ਸੀਮਾਵਾਂ ਵਿੱਚ ਕੁਝ ਪੁਰਾਣੇ ਬ੍ਰਾਊਜ਼ਰਾਂ ਦੁਆਰਾ ਸਮਰਥਤ ਨਾ ਹੋਣਾ ਸ਼ਾਮਲ ਹੈ, ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਦੀਆਂ ਜ਼ਰੂਰਤਾਂ ਦੇ ਅਧਾਰ ਤੇ ਵੱਖ-ਵੱਖ SameSite ਮੁੱਲਾਂ ਨੂੰ ਚੁਣਨ ਦੀ ਲੋੜ ਹੋ ਸਕਦੀ ਹੈ।

ਡਿਵੈਲਪਰ ਮੌਜੂਦਾ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨਾਂ ਵਿੱਚ CSRF ਰੱਖਿਆ ਨੂੰ ਕਿਵੇਂ ਲਾਗੂ ਜਾਂ ਸੁਧਾਰ ਸਕਦੇ ਹਨ?

ਡਿਵੈਲਪਰਾਂ ਨੂੰ ਪਹਿਲਾਂ CSRF ਟੋਕਨਾਂ ਨੂੰ ਲਾਗੂ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਹਰ ਰੂਪ ਅਤੇ AJAX ਬੇਨਤੀ ਵਿੱਚ ਸ਼ਾਮਲ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ। ਉਹਨਾਂ ਨੂੰ SameSite ਕੂਕੀਜ਼ ਨੂੰ ਵੀ ਢੁਕਵੇਂ ਢੰਗ ਨਾਲ ਕੌਂਫਿਗਰ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ ('ਸਖ਼ਤ' ਜਾਂ 'ਲੈਕਸ' ਦੀ ਆਮ ਤੌਰ 'ਤੇ ਸਿਫ਼ਾਰਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ)। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਡਬਲ-ਸਬਮਿਟ ਕੂਕੀਜ਼ ਵਰਗੇ ਵਾਧੂ ਰੱਖਿਆ ਵਿਧੀਆਂ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ। ਨਿਯਮਤ ਸੁਰੱਖਿਆ ਜਾਂਚ ਅਤੇ ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨ ਫਾਇਰਵਾਲ (WAF) ਦੀ ਵਰਤੋਂ ਵੀ CSRF ਹਮਲਿਆਂ ਤੋਂ ਬਚਾਅ ਕਰ ਸਕਦੀ ਹੈ।

ਜਦੋਂ CSRF ਹਮਲੇ ਦਾ ਪਤਾ ਲੱਗਦਾ ਹੈ ਤਾਂ ਤੁਰੰਤ ਕਿਹੜੇ ਕਦਮ ਚੁੱਕਣੇ ਚਾਹੀਦੇ ਹਨ?

ਜਦੋਂ CSRF ਹਮਲੇ ਦਾ ਪਤਾ ਲੱਗਦਾ ਹੈ, ਤਾਂ ਪਹਿਲਾਂ ਪ੍ਰਭਾਵਿਤ ਉਪਭੋਗਤਾਵਾਂ ਅਤੇ ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਸਮਝੌਤਾ ਕੀਤੀਆਂ ਪ੍ਰਕਿਰਿਆਵਾਂ ਦੀ ਪਛਾਣ ਕਰਨਾ ਮਹੱਤਵਪੂਰਨ ਹੁੰਦਾ ਹੈ। ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਸੂਚਿਤ ਕਰਨਾ ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਆਪਣੇ ਪਾਸਵਰਡ ਰੀਸੈਟ ਕਰਨ ਦੀ ਸਿਫਾਰਸ਼ ਕਰਨਾ ਇੱਕ ਚੰਗਾ ਅਭਿਆਸ ਹੈ। ਸਿਸਟਮ ਕਮਜ਼ੋਰੀਆਂ ਨੂੰ ਪੈਚ ਕਰਨਾ ਅਤੇ ਹਮਲਾ ਵੈਕਟਰ ਨੂੰ ਬੰਦ ਕਰਨਾ ਬਹੁਤ ਜ਼ਰੂਰੀ ਹੈ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਹਮਲੇ ਦੇ ਸਰੋਤ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨ ਅਤੇ ਭਵਿੱਖ ਦੇ ਹਮਲਿਆਂ ਨੂੰ ਰੋਕਣ ਲਈ ਲੌਗਸ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨਾ ਜ਼ਰੂਰੀ ਹੈ।

ਕੀ ਸਿੰਗਲ-ਪੇਜ ਐਪਲੀਕੇਸ਼ਨਾਂ (SPA) ਅਤੇ ਰਵਾਇਤੀ ਮਲਟੀ-ਪੇਜ ਐਪਲੀਕੇਸ਼ਨਾਂ (MPA) ਲਈ CSRF ਦੇ ਵਿਰੁੱਧ ਰੱਖਿਆ ਰਣਨੀਤੀਆਂ ਵੱਖਰੀਆਂ ਹਨ? ਜੇ ਹਾਂ, ਤਾਂ ਕਿਉਂ?

ਹਾਂ, CSRF ਰੱਖਿਆ ਰਣਨੀਤੀਆਂ SPA ਅਤੇ MPA ਲਈ ਵੱਖਰੀਆਂ ਹਨ। MPA ਵਿੱਚ, CSRF ਟੋਕਨ ਸਰਵਰ-ਸਾਈਡ ਤੇ ਤਿਆਰ ਕੀਤੇ ਜਾਂਦੇ ਹਨ ਅਤੇ ਫਾਰਮਾਂ ਵਿੱਚ ਸ਼ਾਮਲ ਕੀਤੇ ਜਾਂਦੇ ਹਨ। ਕਿਉਂਕਿ SPA ਆਮ ਤੌਰ 'ਤੇ API ਕਾਲਾਂ ਕਰਦੇ ਹਨ, ਟੋਕਨਾਂ ਨੂੰ HTTP ਹੈਡਰ ਵਿੱਚ ਜੋੜਿਆ ਜਾਂਦਾ ਹੈ ਜਾਂ ਡਬਲ-ਸਬਮਿਟ ਕੂਕੀਜ਼ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। SPA ਵਿੱਚ ਵਧੇਰੇ ਕਲਾਇੰਟ-ਸਾਈਡ JavaScript ਕੋਡ ਦੀ ਮੌਜੂਦਗੀ ਹਮਲੇ ਦੀ ਸਤ੍ਹਾ ਨੂੰ ਵਧਾ ਸਕਦੀ ਹੈ, ਇਸ ਲਈ ਸਾਵਧਾਨੀ ਜ਼ਰੂਰੀ ਹੈ। ਇਸ ਤੋਂ ਇਲਾਵਾ, SPA ਲਈ CORS (ਕਰਾਸ-ਓਰਿਜਨ ਰਿਸੋਰਸ ਸ਼ੇਅਰਿੰਗ) ਸੰਰਚਨਾ ਵੀ ਮਹੱਤਵਪੂਰਨ ਹੈ।

ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨ ਸੁਰੱਖਿਆ ਦੇ ਸੰਦਰਭ ਵਿੱਚ, CSRF ਹੋਰ ਆਮ ਕਿਸਮਾਂ ਦੇ ਹਮਲਿਆਂ (XSS, SQL ਇੰਜੈਕਸ਼ਨ, ਆਦਿ) ਨਾਲ ਕਿਵੇਂ ਸੰਬੰਧਿਤ ਹੈ? ਰੱਖਿਆਤਮਕ ਰਣਨੀਤੀਆਂ ਨੂੰ ਕਿਵੇਂ ਏਕੀਕ੍ਰਿਤ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ?

CSRF ਹੋਰ ਆਮ ਹਮਲੇ ਦੀਆਂ ਕਿਸਮਾਂ, ਜਿਵੇਂ ਕਿ XSS (ਕਰਾਸ-ਸਾਈਟ ਸਕ੍ਰਿਪਟਿੰਗ) ਅਤੇ SQL ਇੰਜੈਕਸ਼ਨ, ਨਾਲੋਂ ਇੱਕ ਵੱਖਰਾ ਉਦੇਸ਼ ਪੂਰਾ ਕਰਦਾ ਹੈ, ਪਰ ਇਹਨਾਂ ਨੂੰ ਅਕਸਰ ਇੱਕ ਦੂਜੇ ਦੇ ਨਾਲ ਜੋੜ ਕੇ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਇੱਕ CSRF ਹਮਲਾ XSS ਹਮਲੇ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਸ਼ੁਰੂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। ਇਸ ਲਈ, ਇੱਕ ਲੇਅਰਡ ਸੁਰੱਖਿਆ ਪਹੁੰਚ ਅਪਣਾਉਣੀ ਮਹੱਤਵਪੂਰਨ ਹੈ। ਵੱਖ-ਵੱਖ ਰੱਖਿਆ ਵਿਧੀਆਂ ਨੂੰ ਇਕੱਠੇ ਵਰਤਿਆ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ, ਜਿਵੇਂ ਕਿ ਇਨਪੁਟ ਡੇਟਾ ਨੂੰ ਸੈਨੀਟਾਈਜ਼ ਕਰਨਾ ਅਤੇ XSS ਦੇ ਵਿਰੁੱਧ ਆਉਟਪੁੱਟ ਡੇਟਾ ਨੂੰ ਏਨਕੋਡ ਕਰਨਾ, SQL ਇੰਜੈਕਸ਼ਨ ਦੇ ਵਿਰੁੱਧ ਪੈਰਾਮੀਟਰਾਈਜ਼ਡ ਪੁੱਛਗਿੱਛਾਂ ਦੀ ਵਰਤੋਂ ਕਰਨਾ, ਅਤੇ CSRF ਦੇ ਵਿਰੁੱਧ CSRF ਟੋਕਨਾਂ ਨੂੰ ਲਾਗੂ ਕਰਨਾ। ਕਮਜ਼ੋਰੀਆਂ ਲਈ ਨਿਯਮਿਤ ਤੌਰ 'ਤੇ ਸਕੈਨ ਕਰਨਾ ਅਤੇ ਸੁਰੱਖਿਆ ਜਾਗਰੂਕਤਾ ਵਧਾਉਣਾ ਵੀ ਇੱਕ ਏਕੀਕ੍ਰਿਤ ਸੁਰੱਖਿਆ ਰਣਨੀਤੀ ਦਾ ਹਿੱਸਾ ਹਨ।

ਹੋਰ ਜਾਣਕਾਰੀ: OWASP ਟੌਪ ਟੈਨ