진위성 토큰은 CSRF (Cross-Site Request Forgery) 공격을 방지하는 데 사용됩니다. 진위 토큰을 이해하려면 먼저 CSRF 공격을 이해해야합니다.

CSRF

귀하가의 저자라고 가정합니다 bank.com. 귀하의 사이트에는 GET 요청으로 다른 계좌로 송금하는 데 사용되는 양식이 있습니다.

해커는 서버에 HTTP 요청을 보낼 수 있습니다 GET /transfer?amount=$1000000&account-to=999999.

잘못된. 해커의 공격이 작동하지 않습니다. 서버는 기본적으로 생각할까요?

응? 이 사람은 누가 이체를 시도합니까? 계정 소유자가 아닙니다. 확실합니다.

서버는 이것을 어떻게 알 수 있습니까? session_id요청자를 인증하는 쿠키 가 없기 때문 입니다.

사용자 이름과 비밀번호로 로그인하면 서버가 session_id브라우저 에서 쿠키를 설정 합니다. 그렇게하면 사용자 이름과 비밀번호로 각 요청을 인증 할 필요가 없습니다. 브라우저가 session_id쿠키를 보내면 서버는 다음을 알고 있습니다.

아, 존 도우입니다. 2.5 분 전에 성공적으로 로그인했습니다. 그는 잘 지내요.

해커는 다음과 같이 생각할 수 있습니다.

흠. 정상적인 HTTP 요청은 작동하지 않지만 session_id쿠키에 손을 대면 황금색이됩니다.

사용자 브라우저에는 bank.com도메인에 대한 쿠키 세트가 있습니다. 사용자가 bank.com도메인에 요청할 때마다 모든 쿠키가 전송됩니다. session_id쿠키를 포함합니다 .

따라서 해커가 귀하의 계좌로 돈을 이체하는 GET 요청을 할 수 있다면 성공할 것입니다. 어떻게 당신을 속일 수 있습니까? 교차 사이트 요청 위조

실제로는 간단합니다. 해커는 당신이 그의 웹 사이트를 방문하게 할 수 있습니다. 웹 사이트에서 다음 이미지 태그를 가질 수 있습니다.

<img src="http://bank.com/transfer?amount=$1000000&account-to=999999">

사용자 브라우저가 해당 이미지 태그를 발견하면 해당 URL에 GET 요청을합니다. 요청은 브라우저에서 제공되므로에 연결된 모든 쿠키가 요청과 함께 전송됩니다 bank.com. 사용자가 최근에 로그인 한 경우 bank.com… session_id쿠키가 설정되고 서버는 사용자가 $ 1,000,000를 계정 999999로 이체한다고 생각합니다!

글쎄, 위험한 사이트를 방문하지 않으면 괜찮을 것입니다.

충분하지 않습니다. 누군가가 그 이미지를 Facebook에 게시하고 벽에 나타나면 어떻게해야합니까? XSS 공격으로 방문하는 사이트에 주입되면 어떻게됩니까?

그렇게 나쁘지 않습니다. GET 요청 만 취약합니다.

사실이 아니다. POST 요청을 보내는 양식을 동적으로 생성 할 수 있습니다. 보안에 관한 Rails Guide 의 예제는 다음과 같습니다 .

<a href="http://www.harmless.com/" onclick="
  var f = document.createElement('form');
  f.style.display = 'none';
  this.parentNode.appendChild(f);
  f.method = 'POST';
  f.action = 'http://www.example.com/account/destroy';
  f.submit();
  return false;">To the harmless survey</a>

진품 토큰

당신 ApplicationController이 이것을 가지고 있을 때 :

protect_from_forgery with: :exception

이:

<%= form_tag do %>
  Form contents
<% end %>

이것으로 컴파일됩니다 :

<form accept-charset="UTF-8" action="/" method="post">
  <input name="utf8" type="hidden" value="&#x2713;" />
  <input name="authenticity_token" type="hidden" value="J7CBxfHalt49OSHp27hblqK20c9PgwJ108nDHX/8Cts=" />
  Form contents
</form>

특히 다음이 생성됩니다.

<input name="authenticity_token" type="hidden" value="J7CBxfHalt49OSHp27hblqK20c9PgwJ108nDHX/8Cts=" />

CSRF 공격으로부터 보호하기 위해 Rails가 요청과 함께 전송 된 인증 토큰을 보지 못하면 요청이 안전한 것으로 간주하지 않습니다.

침입자는이 토큰이 무엇인지 어떻게 알 수 있습니까? 양식이 생성 될 때마다 다른 값이 무작위로 생성됩니다.

XSS (Cross Site Scripting) 공격-그 방법입니다. 그러나 그것은 다른 날에 다른 취약점입니다.

답변

 <%= token_tag nil %>

<input name="authenticity_token" type="hidden" value="token_value">