CSRF (Cross-Site Request Forgery) การโจมตีและเทคนิคการป้องกัน

บทความบล็อกนี้จะตรวจสอบการโจมตี CSRF (Cross-Site Request Forgery) ซึ่งเป็นส่วนสำคัญของความปลอดภัยของเว็บและเทคนิคการป้องกันการโจมตีเหล่านี้อย่างละเอียด CSRF (Cross-Site Request Forgery) คืออะไร การโจมตีเกิดขึ้นได้อย่างไรและอาจนำไปสู่ผลลัพธ์อะไรได้บ้าง นอกจากนี้ยังมีการเน้นถึงมาตรการที่สามารถนำไปใช้เพื่อป้องกันการโจมตีประเภทนี้ เครื่องมือและวิธีการในการป้องกัน บทความนี้เสนอคำแนะนำในการป้องกันการโจมตี CSRF (Cross-Site Request Forgery) ขณะที่ยังได้กล่าวถึงสถิติที่ทันสมัยเพื่อเน้นความสำคัญของหัวข้อนี้ สุดท้ายแล้ว ยังมีการนำเสนอวิธีที่มีประสิทธิภาพที่สุดในการรับมือกับ CSRF (Cross-Site Request Forgery) และข้อเสนอแผนปฏิบัติการเพื่อให้ผู้อ่านได้รับคู่มือที่ครอบคลุม

CSRF (Cross-Site Request Forgery) คืออะไร?

CSRF (Cross-Site Request Forgery) เป็นช่องโหว่ด้านความปลอดภัยของเว็บที่อนุญาตให้เว็บไซต์ที่ไม่ประสงค์ดีสามารถทำกิจกรรมโดยไม่ได้รับอนุญาตบนเว็บไซต์อื่นที่ผู้ใช้ล็อกอินอยู่ในเบราว์เซอร์ ผู้โจมตีสามารถส่งคำขอที่ไม่ถูกต้องโดยใช้ตัวตนของเหยื่อ ทำให้ทำกิจกรรมต่าง ๆ เช่น การเปลี่ยนรหัสผ่าน การส่งเงิน หรือการเปลี่ยนที่อยู่อีเมลได้โดยที่ผู้ใช้งานไม่ทราบ

การโจมตี CSRF มักเกิดขึ้นโดยการใช้วิธีการทางสังคม ผู้โจมตีจะโน้มน้าวให้เหยื่อคลิกลิงก์ที่ไม่ประสงค์ดีหรือไปเยี่ยมชมเว็บไซต์ที่ไม่ปลอดภัย เว็บไซต์นี้จะส่งคำขอไปยังเว็บไซต์ที่ตั้งเป้าไว้โดยอัตโนมัติ เบราว์เซอร์จะส่งคำขอนี้ไปยังเว็บไซต์ที่ตั้งเป้าไว้โดยอัตโนมัติ และเว็บไซต์จะคิดว่าคำขอดังกล่าวมาจากเหยื่อ

มีมาตรการต่างๆ ที่สามารถนำมาใช้เพื่อป้องกันการโจมตี CSRF ได้ เช่น การใช้ CSRF token การใช้ SameSite cookie และการขอการตรวจสอบเพิ่มเติมจากผู้ใช้สำหรับการกระทำที่สำคัญ นักพัฒนาเว็บควรนำมาตรการเหล่านี้มาใช้เพื่อปกป้องแอปพลิเคชันของตนจากการโจมตี CSRF

ข้อมูลพื้นฐานเกี่ยวกับ CSRF

• CSRF อนุญาตให้ทำกิจกรรมโดยไม่ต้องแจ้งให้ผู้ใช้ทราบ
• ผู้โจมตีส่งคำขอโดยใช้ตัวตนของเหยื่อ
• มักจะมีการใช้เทคนิคทางสังคม
• CSRF token และคุกกี้ SameSite เป็นกลไกการป้องกันที่สำคัญ
• นักพัฒนาเว็บควรดำเนินการป้องกันแอปพลิเคชันของตน
• การทดสอบความปลอดภัยมักมีการค้นหาช่องโหว่

CSRF เป็นภัยคุกคามที่ร้ายแรงสำหรับแอปพลิเคชันเว็บ และนักพัฒนาควรดำเนินการจำเป็นเพื่อป้องกันการโจมตีประเภทนี้ ผู้ใช้เองก็สามารถป้องกันได้โดยการหลีกเลี่ยงการคลิกลิงก์ที่น่าสงสัยและใช้เว็บไซต์ที่เชื่อถือได้

ภาพรวมของการโจมตี CSRF

การโจมตี CSRF (Cross-Site Request Forgery) เป็นช่องโหว่ที่อนุญาตให้เว็บไซต์ที่ไม่ประสงค์ดีสามารถดำเนินการโดยไม่ได้รับการยินยอมจากผู้ใช้ที่ล็อกอินอยู่ในเบราว์เซอร์ ซึ่งการโจมตีเหล่านี้มักเกิดขึ้นโดยการส่งคำสั่งที่ไม่ได้รับอนุญาตผ่านเว็บไซต์ที่ผู้ใช้ไว้วางใจ ตัวอย่างเช่น ผู้โจมตีสามารถทำการโอนเงินในแอปพลิเคชันธนาคารหรือโพสต์ในบัญชีโซเชียลมีเดีย

• คุณลักษณะของการโจมตี CSRF
• สามารถทำได้ด้วยการคลิกเพียงครั้งเดียว
• ต้องการให้ผู้ใช้ล็อกอินอยู่
• ผู้โจมตีไม่สามารถเข้าถึงข้อมูลประจำตัวของผู้ใช้ได้โดยตรง
• โดยปกตจะมีการใช้เทคนิคทางสังคม
• ส่งคำขอผ่านเบราวเซอร์ของเหยื่อ
• ใช้ประโยชน์จากจุดอ่อนในการจัดการเซสชันของแอปพลิเคชันเว็บที่ตั้งเป้า

การโจมตี CSRF ใช้ประโยชน์จากช่องโหว่ในแอปพลิเคชันเว็บ โดยผู้โจมตีจะส่งคำขอไปยังเว็บไซต์ที่ผู้ใช้ล็อกอินอยู่ผ่านลิงก์ที่ฝังอยู่ในอีเมลหรือเข้าถึงทางอื่น คำขอนี้จะปรากฏว่าเป็นการทำงานตามความต้องการของผู้ใช้ โดยปกติจะถือว่าเป็นคำขอที่ถูกต้องโดยเซิร์ฟเวอร์ ซึ่งหมายถึงผู้โจมตีอาจทำการเปลี่ยนแปลงบัญชีของผู้ใช้โดยไม่ได้รับอนุญาต

เมื่อเกิดการโจมตี CSRF จะมีมาตรการป้องกันหลายอย่างพัฒนาออกมา วิธีการที่พบบ่อยคือการใช้ AntiForgeryToken ซึ่งสร้างโทเคนเฉพาะสำหรับการส่งแบบฟอร์มแต่ละครั้งเพื่อยืนยันคำขอว่าเป็นคำขอที่มาจากผู้ใช้ที่ถูกต้อง นอกจากนี้ยังมีการใช้ SameSite cookies ซึ่งคุกกี้เหล่านี้จะถูกส่งเฉพาะเมื่อคำขอเกิดจากเว็บไซต์ที่เหมือนกัน ทำให้ไม่สามารถส่งคำขอระหว่างไซต์ได้ และการตรวจสอบ Referer ก็สามารถช่วยป้องกันการโจมตีได้

การโจมตี CSRF สร้างอันตรายใหญ่หลวงให้กับแอปพลิเคชันเว็บและควรได้รับการดูแลอย่างระมัดระวังทั้งจากผู้ใช้และนักพัฒนา การสร้างกลไกป้องกันที่มีประสิทธิภาพและการเพิ่มความรับรู้ของผู้ใช้เป็นสิ่งสำคัญในการลดแรงกระทบจากประเภทการโจมตีนี้ นักพัฒนาควรพิจารณาหลักการด้านความปลอดภัยในขณะออกแบบแอปพลิเคชันและทำการทดสอบเกี่ยวกับความปลอดภัยอย่างสม่ำเสมอ

การโจมตี CSRF เกิดขึ้นได้อย่างไร?

การโจมตี CSRF (Cross-Site Request Forgery) เป็นการทำให้เว็บไซต์ที่ไม่ประสงค์ดีสามารถส่งคำขอู้โดยไม่ได้รับอนุญาตจากผู้ใช้ที่ได้รับอำนาจ ซึ่งการโจมตีประเภทนี้สามารถเกิดขึ้นได้เมื่อผู้ใช้ล็อกอินที่เว็บแอปพลิเคชัน (เช่น เว็บไซต์ธนาคารหรือแพลตฟอร์มโซเชียลมีเดีย) ผู้โจมตีสามารถฉีดโค้ดอันตรายให้ทำการกระทำได้โดยที่ผู้ใช้ไม่รู้ตัว

พื้นฐานของการโจมตี CSRF มาจากการที่แอปพลิเคชันเว็บไม่มีมาตรการรักษาความปลอดภัยที่เพียงพอในการตรวจสอบคำขอที่เข้ามา ซึ่งทำให้ผู้โจมตีสามารถสร้างคำขอปลอมขึ้นมาและนำเสนอเหมือนกับคำขอที่ถูกต้องจากผู้ใช้ได้ ตัวอย่างเช่น ผู้โจมตีอาจทำให้ผู้ใช้เปลี่ยนรหัสผ่าน โอนเงิน หรือปรับปรุงข้อมูลโปรไฟล์ได้ การโจมตีประเภทนี้อาจนำมาซึ่งผลร้ายแรงทั้งส่วนบุคคลและองค์กรใหญ่

ในการโจมตี CSRF ที่ประสบความสำเร็จ ผู้ใช้ต้องล็อกอินที่เว็บไซต์เป้าหมายและผู้โจมตีจะต้องส่งคำขอที่ไม่ประสงค์ดีไปยังเบราวเซอร์ของผู้ใช้ คำขอนี้มักจะเกิดขึ้นผ่านทางอีเมลหรือเว็บไซต์ที่ไม่ปลอดภัย เมื่อผู้ใช้คลิกลิงก์นี้ เบราวเซอร์จะส่งคำขอนี้ไปยังเว็บไซต์เป้าหมายโดยอัตโนมัติ ซึ่งคำขอนี้จะถูกส่งพร้อมกับข้อมูลประจำตัวของผู้ใช้ ทำให้การปกป้องแอปพลิเคชันจากการโจมตี CSRF เป็นสิ่งที่มีความสำคัญยิ่ง

แบบจำลองการโจมตี

การโจมตี CSRF มักกระทำผ่านแบบจำลองหลายประเภท หนึ่งในแบบจำลองที่พบบ่อยคือการส่งลิงก์ที่ไม่ประสงค์ดีทางอีเมล เมื่อลูกค้าคลิกลิงก์นี้ การโจมตี CSRF จะถูกทริกเกอร์และทำให้การกระทำดำเนินการโดยไม่ได้รับอนุญาตแบบไม่รู้ตัว แบบจำลองอื่นคือการโจมตีผ่านภาพหรือโค้ด JavaScript ที่ฝังอยู่ในเว็บไซต์ที่เชื่อถือได้

เครื่องมือที่จำเป็น

มีเครื่องมือหลายอย่างที่สามารถใช้ในการโจมตีหรือทดสอบการโจมตี CSRF ซึ่งประกอบไปด้วย Burp Suite, OWASP ZAP และสคริปต์เฉพาะต่างๆ เครื่องมือเหล่านี้ช่วยให้ผู้โจมตีสามารถสร้างคำขอปลอม วิเคราะห์ข้อมูล HTTP และค้นหาช่องโหว่ทางความปลอดภัย นักวิชาการด้านความปลอดภัยยังสามารถใช้เครื่องมือเหล่านี้ในการทดสอบความปลอดภัยของแอปพลิเคชันเว็บและระบุช่องโหว่ที่เกิดจาก CSRF

ขั้นตอนการโจมตี CSRF

1. ระบุช่องโหว่ในเว็บแอปพลิเคชันที่ตั้งเป้า
2. สร้างคำขออันตรายในเว็บไซต์ที่ผู้ใช้ล็อกอินอยู่
3. ใช้เทคนิคทางสังคมเพื่อล่อลูกค้าให้คลิกคำขอนี้
4. เบราวเซอร์ของผู้ใช้จะส่งคำขอปลอมไปยังเว็บไซต์เป้าหมาย
5. เว็บไซต์เป้าหมายจะดำเนินการคำขอในฐานะคำขอที่ถูกต้องจากผู้ใช้
6. ผู้โจมตีสามารถกระทำการที่ไม่ได้รับอนุญาตจากบัญชีผู้ใช้ได้

จะป้องกันได้อย่างไร?

มีหลายวิธีในการป้องกันการโจมตี CSRF ในหมู่พวกเขาได้แก่ CSRF tokens, คุกกี้ SameSite และ double submit cookies โดย CSRF token จะสร้างค่าที่ไม่ซ้ำกันสำหรับแต่ละการส่งแบบฟอร์มหรือคำขอ ซึ่งจะช่วยป้องกันการสร้างคำขอปลอมจากผู้โจมตี คุกกี้ SameSite จะอนุญาตให้ส่งคุกกี้เฉพาะคำขอที่มาจากโฮสต์เดียวกันเท่านั้น ช่วยลดความเสี่ยงจากการโจมตี CSRF

นอกจากนี้ เว็บแอปพลิเคชันควรได้รับการทดสอบด้านความปลอดภัยเป็นประจำและช่องโหว่ควรได้รับการแก้ไขอย่างสม่ำเสมอ นักพัฒนาควรเข้าใจวิธีการโจมตี CSRF และวิธีป้องกันเพื่อนำไปสู่การพัฒนาแอปพลิเคชันที่ปลอดภัย ผู้ใช้เองก็ต้องระมัดระวังในการคลิกลิงก์ที่น่าสงสัยและต้องแน่ใจว่าเว็บไซต์ที่ใช้มีความปลอดภัย

มาตรการที่สามารถใช้เพื่อต่อต้านการโจมตี CSRF

การโจมตี CSRF (Cross-Site Request Forgery) สามารถมีมาตรการที่สามารถใช้เพื่อต่อต้านได้ซึ่งสามารถนำไปใช้ได้ทั้งนักพัฒนาและผู้ใช้ โดยมาตรการเหล่านี้มุ่งหวังที่จะเปิดโอกาสในการรักษาความปลอดภัยให้กับผู้ใช้ในขณะที่ปกป้องจากคำขอที่ไม่ประสงค์ดี มาตรการพื้นฐานนั้นเน้นไปที่การยืนยันความถูกต้องของคำขอและป้องกันการเข้าถึงที่ไม่ได้รับอนุญาต

สถานการณ์ที่มีความปลอดภัยที่มีประสิทธิภาพนั้นมีมาตรการที่ต้องดำเนินการทั้งที่ฝั่งเซิร์ฟเวอร์และฝั่งลูกค้า ซึ่งที่ฝั่งเซิร์ฟเวอร์ควรมีการใช้ CSRF tokens สำหรับการยืนยันความถูกต้องของคำขอ, การจำกัดการใช้งานของคุกกี้ด้วย SameSite และการใช้ double submit cookies ขณะที่ที่ฝั่งลูกค้า ควรมีการให้ความรู้แก่ผู้ใช้ในเรื่องการหลีกเลี่ยงลิงก์ที่ไม่ประสงค์ดีและการตั้งค่าความปลอดภัยในเบราวเซอร์อย่างถูกต้องนอกจากนี้

มาตรการที่ควรปฏิบัติ

• ใช้ CSRF Tokens: สร้าง token ที่ไม่ซ้ำกันสำหรับแต่ละเซสชันเพื่อตรวจสอบความถูกต้องของคำขอ
• SameSite Cookies: จำกัดการส่งคุกกี้เฉพาะกับคำขอจากไซต์เดียวกันเพื่อลดความเสี่ยงของ CSRF
• Double Submit Cookies: ทำให้ค่าในคุกกี้นั้นและในฟอร์มมีค่าเดียวกันเพื่อตรวจสอบความถูกต้อง
• การควบคุมต้นทาง (Origin Header): ตรวจสอบที่มาของคำขอเพื่อบล็อกคำขอที่ไม่ได้รับอนุญาต
• การให้ความรู้แก่ผู้ใช้: ให้ผู้ใช้รู้จักการตื่นตัวเกี่ยวกับลิงก์ต้องสงสัยและอีเมลไม่ประสงค์ดี
• Security Headers: การใช้ Security Headers เช่น X-Frame-Options และ Content-Security-Policy เพื่อให้การปกป้องเพิ่มเติม

โดยสรุปตารางด้านล่างคือสรุปเกี่ยวกับมาตรการในการต่อต้านการโจมตี CSRF รวมถึงอธิบายว่าแต่ละมาตรการมีประสิทธิภาพต่อต้านการโจมตีใดบ้าง ซึ่งจะช่วยให้นักพัฒนาและผู้เชี่ยวชาญด้านความปลอดภัยตัดสินใจเกี่ยวกับมาตรการที่ควรนำมาใช้

อย่างไรก็ตาม ควรจำไว้ว่า การป้องกัน CSRF ต้องการการรวมกันของมาตรการต่างๆ เนื่องจากมาตรการใด ๆ ก็อาจไม่เพียงพอในการต่อต้านการโจมตีทุกประเภท ดังนั้น การยอมรับแนวทางด้านความปลอดภัยหลายชั้นและการสแกนช่องโหว่อย่างสม่ำเสมอเป็นสิ่งสำคัญในปฏิบัติการนี้ นอกจากนี้ การปรับปรุงนโยบายและขั้นตอนด้านความปลอดภัยอย่างสม่ำเสมอจะช่วยทำให้คุณเตรียมตัวต่อการโจมตีใหม่ๆ

ผลกระทบและผลลัพธ์ของ CSRF

การโจมตี CSRF จะเกิดผลกระทบที่ร้ายแรงทั้งต่อลูกค้าและสำหรับแอปพลิเคชันเว็บซึ่งอาจส่งผลให้เกิดการโจมตีที่ไม่คาดคิดในรูปแบบต่าง ๆ การโจมตีจะทำให้เกิดการเข้าถึงที่ไม่ได้รับอนุญาตต่อการดำเนินการอันเป็นสาเหตุของการละเมิดข้อมูลและอาจนำมาสู่การใช้ประโยชน์จากข้อมูลส่วนตัวได้ทั้งหมด บางครั้งผู้โจมตีสามารถใช้ข้อมูลที่ได้ทำการโจมตีเหล่านี้เพื่อดำเนินการกระทำที่ผิดกฎหมายหรือกิจกรรมที่ไม่ประสงค์ดี

การทำความเข้าใจเกี่ยวกับผลกระทบที่อาจเกิดขึ้นจากการโจมตี CSRF เป็นสิ่งสำคัญเพื่อพัฒนากลยุทธ์ป้องกันที่มีประสิทธิภาพ การโจมตีสามารถนำไปสู่การเปลี่ยนแปลงการตั้งค่าของบัญชีผู้ใช้ การทำรายการเงิน หรือการเผยแพร่เนื้อหาที่ไม่เหมาะสม การกระทำประเภทนี้ไม่เพียงแต่ทำลายความเชื่อมั่นของผู้ใช้แต่ยังส่งผลกระทบต่อความเชื่อถือได้ของแอปพลิเคชันเว็บ

ผลกระทบด้านลบของ CSRF

• การควบคุมบัญชีและการเข้าถึงที่ไม่ได้รับอนุญาต
• การบิดเบือนหรือการลบข้อมูลผู้ใช้
• การสูญเสียทางการเงิน (การโอนเงินที่ไม่ได้รับอนุญาต การซื้อสินค้า)
• การสูญเสียชื่อเสียงและการลดความเชื่อมั่นของลูกค้า
• การใช้งานทรัพยากรของเว็บแอปพลิเคชัน
• ปัญหาทางกฎหมายและความรับผิด

ด้านล่างคือตารางที่ตรวจสอบผลกระทบที่เป็นไปได้จากการโจมตี CSRF ในสถานการณ์ต่างๆ โดยมีรายละเอียดของผลลัพธ์ที่เป็นไปได้

ผลลัพธ์เหล่านี้แสดงให้เห็นว่าการโจมตี CSRF สามารถร้ายแรงได้มากเพียงใด ดังนั้น นักพัฒนาซอฟต์แวร์ และผู้ดูแลระบบควรดำเนินการเพื่อป้องกันการโจมตีประเภทนี้และให้ความรู้แก่ผู้ใช้ การใช้มาตรการป้องกันที่เข้มแข็งเป็นสิ่งจำเป็นทั้งในการปกป้องข้อมูลของผู้ใช้และการรักษาความเชื่อถือได้ของแอปพลิเคชันเว็บ

ควรจำไว้ว่ากลยุทธ์การป้องกันที่มีประสิทธิภาพไม่ควรมีเพียงมาตรการทางเทคนิคเท่านั้น แต่ยังต้องรวมถึงการสร้างความตระหนักให้แก่ผู้ใช้เกี่ยวกับความเสี่ยงที่อาจเกิดขึ้นจากการโจมตี CSRF การไม่คลิกลิงก์ที่น่าสงสัย การไมเข้าเว็บไซต์ที่ไม่เชื่อถือ และการเปลี่ยนรหัสผ่านอย่างสม่ำเสมอ เป็นมาตรการง่ายๆ ที่สามารถช่วยป้องกันการโจมตี CSRF ได้อย่างมีประสิทธิภาพ

เครื่องมือและวิธีการป้องกัน CSRF

CSRF (Cross-Site Request Forgery) การสร้างกลยุทธ์ป้องกันที่มีประสิทธิภาพคือสิ่งสำคัญในการรักษาความปลอดภัยของแอปพลิเคชันเว็บ การโจมตีเหล่านี้มุ่งเป้าไปที่การดำเนินการที่ไม่ถูกต้องโดยไม่ได้รับอนุญาตจากผู้ใช้ ดังนั้นจึงต้องใช้แนวทางการป้องกันที่หลากหลายและมีหลายชั้น ในส่วนนี้เราจะตรวจสอบเครื่องมือต่าง ๆ และวิธีการที่สามารถใช้ในการป้องกันและบรรเทาการโจมตี CSRF

หนึ่งในกลไกการป้องกันที่ใช้บ่อยที่สุดคือแบบจำลองโทเคนซิงโครไนซ์ (Synchronizer Token Pattern - STP) ในแบบจำลองนี้โทเคนที่ไม่ซ้ำกันจะถูกสร้างขึ้นโดยเซิร์ฟเวอร์และเก็บไว้สำหรับแต่ละเซสชันของผู้ใช้ และจะส่งไปพร้อมกับคำขอในแต่ละครั้งที่ต้องการส่งแบบฟอร์มหรือคำขอที่สำคัญ เซิร์ฟเวอร์จะเปรียบเทียบโทเคนที่ส่งมากับโทเคนที่เก็บไว้ในเซสชัน เพื่อยืนยันความถูกต้องของคำขอ

เครื่องมือในการป้องกัน

• แบบจำลองโทเคนซิงโครไนซ์ (STP): สร้างโทเคนที่ไม่ซ้ำกันสำหรับแต่ละฟอร์มเพื่อตรวจสอบความถูกต้องของคำขอ
• คุกกี้ส่งซ้ำสอง (Double Submit Cookies): ป้องกัน CSRF ด้วยการส่งค่าที่ไม่ซ้ำกันทั้งในคุกกี้และในพารามิเตอร์คำขอ
• คุกกี้ SameSite: ทำให้คุกกี้ส่งเฉพาะกับคำขอจากเว็บไซต์ที่ตรงกันเพื่อลดความเสียงจาก CSRF
• ไลบรารีและเฟรมเวิร์ก CSRF: มีโซลูชันที่พร้อมในหลายภาษาการเขียนโปรแกรมและเฟรมเวิร์ก ที่ให้การป้องกันจาก CSRF
• การตรวจสอบส่วนหัวของคำขอ (Referer/Origin): ตรวจสอบแหล่งที่มาเพื่อบล็อกคำขอที่ไม่ได้รับอนุญาต

ตารางด้านล่างนี้ให้การเปรียบเทียบของวิธีการป้องกัน CSRF ต่างๆ และรายละเอียดเกี่ยวกับคุณลักษณะของแต่ละวิธี วิธีการเหล่านี้สามารถช่วยตัดสินใจในเรื่องว่าวิธีใดเหมาะสมที่สุดสำหรับแต่ละสถานการณ์

อีกวิธีที่สำคัญในการป้องกัน CSRF คือการใช้วิธีการคุกกี้ส่งซ้ำสอง (Double Submit Cookies) ในวิธีนี้เซิร์ฟเวอร์จะสร้างค่าแบบสุ่มและส่งไปยังไคลเอนต์เป็นคุกกี้และยังมีการใส่ค่านั้นในฟิลด์ที่ซ่อนอยู่ของฟอร์ม เมื่อไคลเอนต์ทำการส่งฟอร์มค่าทั้งสองจะถูกส่งไปยังเซิร์ฟเวอร์ เซิร์ฟเวอร์จะยืนยันว่าค่าทั้งสองตรงกันหรือไม่ เพื่อยืนยันความถูกต้องของคำขอ วิธีการนี้เหมาะสำหรับแอปพลิเคชันที่ไม่ต้องการจัดการเซสชันที่ซับซ้อน

คุกกี้ SameSite ถือเป็นกลไกการป้องกัน CSRF ที่มีประสิทธิภาพ ค่าคุกกี้ SameSite จะทำให้คุกกี้ถูกส่งเฉพาะเมื่อคำขอเกิดจากโฮสต์เดียวกันเท่านั้น ด้วยวิธีนี้การโจมตี CSRF ผ่านการส่งคำขอจากไซต์อื่นจะไม่สำเร็จ อย่างไรก็ตาม ควรใช้วิธีการอื่นร่วมด้วยเนื่องจากการใช้งานคุกกี้ SameSite อาจไม่ได้รับการสนับสนุนจากเบราวเซอร์ทุกตัว

เคล็ดลับในการปกป้องจากการโจมตี CSRF

การโจมตี CSRF (Cross-Site Request Forgery) การปกป้องจากการโจมตีนี้สำคัญมากสำหรับความปลอดภัยของเว็บแอปพลิเคชัน การโจมตีเหล่านี้มีเป้าหมายเพื่อออกคำสั่งโดยไม่ได้รับการอนุญาตจากผู้ใช้งาน ดังนั้นนักพัฒนาและผู้ดูแลระบบควรนำกลไกการป้องกันที่มีประสิทธิภาพไปใช้ และต่อไปนี้คือเคล็ดลับบางประการในการป้องกันการโจมตี CSRF

มีหลายวิธีในการป้องกันการโจมตี CSRF ซึ่งส่วนใหญ่จะประกอบด้วยการดำเนินการที่ฝั่งผู้ใช้หรือฝั่งเซิร์ฟเวอร์ โดยหนึ่งในวิธีที่นำมาใช้บ่อยที่สุดคือ แบบจำลองโทเคนซิงโครไนซ์ (Synchronizer Token Pattern - STP) ในวิธีนี้เซิร์ฟเวอร์จะสร้างค่าโทเคนที่ไม่ซ้ำกันสำหรับแต่ละเซสชันของผู้ใช้ซึ่งจะมีการส่งไปพร้อมกับคำขอสำหรับงานที่ต้องการส่ง

นอกเหนือจากนี้ วิธีการ คุกกี้ส่งซ้ำสอง (Double Submit Cookie) ยังสามารถใช้เป็นมาตรการที่มีประสิทธิภาพได้อีกด้วย วิธีนี้เซิร์ฟเวอร์จะส่งค่าแบบสุ่มหนึ่งค่าผ่านคุกกี้ในขณะเดียวกันก็มีการใสค่าที่จะถูกส่งในฟิลด์ของฟอร์มหรือส่วนหัวที่พิเศษ เซิร์ฟเวอร์จะตรวจสอบว่าทั้งค่าในคุกกี้และแหล่งที่อยู่การร้องขอมีค่าตรงกัน

ตารางด้านล่างจะแสดงการเปรียบเทียบวิธีการป้องกัน CSRF ร่วมกับคุณลักษณะที่สำคัญ