Implementare correttamente la protezione CSRF per i moduli semplici

Come viene generato e validato in modo sicuro un token CSRF in un semplice modulo PHP?

Quando il modulo viene visualizzato, il token viene generato utilizzando `random_bytes` e memorizzato nella sessione e in un campo nascosto. La richiesta POST deve provenire dalla stessa sessione attiva; la lunghezza e il valore vengono confrontati utilizzando `hash_equals` prima di apportare qualsiasi modifica, mentre i controlli SameSite e, se necessario, Origin forniscono ulteriori livelli di sicurezza.

Casualità crittografica

• Casualità crittografica – Il token ha sufficiente entropia, viene generato lato server e non contiene né identificazione dell'utente né un valore temporale prevedibile.

• Associazione di sessione – Il valore inviato viene verificato rispetto al token memorizzato per la sessione corrente e non solo per la sua presenza.

• Verifica dell'impatto sull'endpoint – Token non validi o mancanti bloccano completamente l'elaborazione, la memorizzazione, la trasmissione e altre modifiche di stato.

Associazione di sessione

1. Avvia la sessione con impostazioni cookie sicure e codifica in modo sicuro un token sufficientemente lungo da random_bytes.

2. Visualizza il token nello stato della sessione e come campo modulo nascosto, senza trasferirlo all'URL o al log.

3. Prima di ogni azione, verifica il metodo POST, la sessione, il formato del token e hash_equals e registra gli errori in modo neutrale.

Scenario pratico: "Riutilizzo di un token globale"

Un modulo di contatto salva le bozze in una sessione e successivamente invia una richiesta. Entrambi i percorsi POST verificano la propria prova di sessione prima di salvare o inviare; una richiesta copiata senza il cookie e il token appropriati termina senza elaborazione parziale.

Riutilizzo di un token globale

• Riutilizzo di un token globale – Un valore identico per tutti i visitatori può essere copiato da una pagina e non offre alcun vincolo all'utente di destinazione.

• Confronto non sicuro – Un confronto approssimativo, una conversione di tipo o un controllo della lunghezza mancante accettano valori imprevisti o indeboliscono la verifica.

• Effetto parziale prima dell'interruzione – Viene inviata un'e-mail o creato un record prima che l'applicazione rilevi il token non valido.

Verifica dell'impatto sull'endpoint

• Proporzione di route di moduli che modificano lo stato con convalida obbligatoria del token lato server prima del primo effetto collaterale.

• Richieste rifiutate a causa di token mancanti, scaduti o non corrispondenti, senza registrazione del valore del token.

Quali prospettive integrano la "Protezione CSRF per i moduli PHP"?

Una domanda approfondita con relativa risposta Creazione di un registro di sicurezza ed errori per i moduli di produzioneQuali eventi dei moduli dovrebbero essere registrati senza creare nuovi rischi per la privacy o la sicurezza dei dati?

Vengono offerti ulteriori punti di vista Utilizzare i campi obbligatori solo dove sono realmente necessari.

Se si desidera implementare concretamente la "protezione CSRF per i moduli PHP", è possibile fare riferimento a Sistemi web robusti a cui ricorrere. In questo caso, l'attenzione si concentra sulla "protezione CSRF per le richieste di modifica dello stato" e sulla "casualità crittografica".

Conclusione: protezione CSRF per i moduli PHP

La protezione CSRF combina valori imprevedibili, sessione corrente e validazione anticipata lato server. Gli attributi dei cookie e i controlli dell'intestazione completano questa combinazione, ma non la sostituiscono completamente.

Fonti e ulteriori informazioni

La seguente documentazione e gli standard ufficiali forniscono la classificazione tecnica.

• Foglio riassuntivo sulla prevenzione della falsificazione delle richieste tra siti (CRS) – OWASPLa fonte primaria di OWASP descrive i token sincronizzati, SameSite, la verifica dell'origine e i metadati di recupero come contromisure CSRF combinabili, specificandone anche i limiti.

• Nozioni di base sulla gestione delle sessioni – Manuale PHPLa documentazione ufficiale di PHP spiega i cookie di sessione sicuri, la rigenerazione dell'ID, la scadenza e la gestione della sessione lato server per il contesto del token.