Сообщество программистов Autodesk в СНГ :: Предотвращение атак CSRF при входе в систему

Сообщество программистов Autodesk в СНГ
Forge: Authentication (OAuth)
Предотвращение атак CSRF при входе в систему

26/12/2017

Предотвращение атак CSRF при входе в систему

Описание на сайте OWASP говорит: «Cross-Site Request Forgery (CSRF) - это атака, которая заставляет конечного пользователя выполнять нежелательные действия в веб-приложении, в котором они в настоящее время аутентифицированы».

Это может произойти при отправке данных на сервер, включая вход в систему. Вот почему все службы предоставляют параметр состояния в их авторизованной конечной точке, например, см. Box:
https://developer.box.com/v2.0/docs/oauth-20

Это описание от сервиса Box того, для чего предназначен параметр состояния : "Произвольная строка по вашему выбору, которая будет включена в ответ на ваше приложение. Может быть включено всё, что может быть полезно для вашего приложения. Box обращает эту информацию обратно в ваше приложение и настоятельно рекомендует включить маркер анти-подделки и подтвердить его в ответе, чтобы предотвратить CSRF атаки на ваших пользователей".

Хотя в документации Forge Authentication API это не описано, в случае нашей авторизованой конечной точки, кроме того, вы можете добавить параметр состояния, который мы вышлем вам при вызове URL обратного вызова вашего приложения. Таким образом, вы можете убедиться, что вызов вернулся как часть текущего сеанса.

Вы можете выбрать библиотеку, которая, по вашему мнению, лучше всего подходит для создания случайного значения, которое вы можете передать в качестве значения состояния . Вот пример кода на стороне сервера:

Код - JavaScript: [Выделить]

// Вернуть URL аутентификации forge
router.get('/user/authenticate', function (req, res) {
  // Создаем уникальный идентификатор и сохраняем его
  // Здесь мы используем пакет «cryptiles» из npm
  // но может быть что-то еще
  req.session.csrf = cryptiles.randomString(24);
 
  // Перенаправить пользователя на эту страницу
  var url =
    "https://developer.api.autodesk.com" +
    '/authentication/v1/authorize?response_type=code' +
    '&client_id=' + config.credentials.client_id +
    '&redirect_uri=' + config.callbackURL +
    '&state=' + req.session.csrf + // добавляем уникальный код
    '&scope=' + config.scopeInternal.join(" ");
  res.end(url);
});
 
// Ожидаем обратный вызов от Autodesk (oAuth callback)
router.get('/api/forge/callback/oauth', function (req, res) {
  var csrf = req.query.state;
 
  // Проверяем, является ли код до сих пор уникальным
  if (!csrf || csrf !== req.session.csrf) {
    res.status(401).end();
    return;
  }
 
  // и т.д.
});