CSRF (Cross Site Request Forgery)

CSRF (Cross Site Request Forgery)

다른 사이트에서 유저가 보내는 요청을 조작하는 것

ex) 이메일에 첨부된 링크를 누르면 내 은행 계좌의 돈이 빠져나감

해커가 직접 데이터를 접근할 수 없다

ex) 다른 오리진이기 때문에 response에 직접 접근할 수 없음

 

CSRF 공격을 하기 위한 조건

1. 쿠키를 사용한 로그인 - 유저가 로그인 했을 때, 쿠키로 어떤 유저인지 알 수 있어야 함

2. 예측할 수 있는 요청을 가지고 있어야 함 - request에 해커가 모를수 있는 정보가 담겨있으면 안됨

CSRF를 막는 방법

1. CSRF 토큰 사용하기 - 서버 측에서 CSRF 공격에 보호하기 위한 문자열을 유저의 브라우저와 웹 앱에만 제공.

2. Same-site cookie 사용하기 - 같은 도메인에서만 세션/쿠키를 사용할 수 있다.