¿HTTPS protege contra ataques CSRF?

Question

Escribo una aplicación web principalmente impulsada por ajax y estoy buscando cómo proteger al usuario de los ataques CSRF. Estoy planeando ejecutar las páginas de la aplicación donde el usuario está conectado para hacer su trabajo en modo HTTPS.

¿Funciona la ejecución de la página en HTTPS para proteger contra los ataques de CSRF?

Answer 1

No, ejecutar una página en HTTPS no lo protege de CSRF. El hecho de que las comunicaciones entre el navegador y el servidor estén encriptadas no tiene relación con CSRF.

Sugiero leer la guía de OWASP en preventing CSRF.

Answer 2

Una regla general, de oro woule ser:

Nunca confiar en que la solicitud del cliente entrante es legítima. Sea siempre sospechoso y suponga que la solicitud podría falsificarse de forma malintencionada.

algunas reglas específicas más allá del artículo mencionado OWASP:

1. si sus datos necesidades de autenticación/autorización, evite interfaces genéricas en el servidor, como la interfaz CRUD. fácil de codificar, difícil de autorizar solicitudes específicas provenientes de clientes. en su lugar, ofrecen una interfaz de estilo SOA con métodos explícitos dedicados a casos de uso específicos donde tendrá control directo sobre las solicitudes y sus parámetros.

   http://msdn.microsoft.com/en-us/library/ms954638.aspx

2. incluso si el marco proporciona algún control sobre la validez solicitud (ASP.NET estado de vista), comprobar de nuevo si el usuario está autorizado para pasar el conjunto de parámetros de entrada.

Answer 3

La mejor solución posible es incluir tokens secretos, para identificar al usuario, en envíos de formularios al servidor. Consulte los siguientes enlaces para obtener más información.

http://en.wikipedia.org/wiki/Cross-site_request_forgery

https://www.owasp.org/index.php/Cross-Site_Request_Forgery_(CSRF)

http://www.codinghorror.com/blog/2008/10/preventing-csrf-and-xsrf-attacks.html

http://seclab.stanford.edu/websec/csrf/