브라우저 권한 남용과 CSRF 방어 흐름

세션 보유

피해자는 정상 사이트에 로그인되어 있고 브라우저는 쿠키를 저장하고 있다.

session

공격자가 만든 폼, 이미지, 스크립트가 정상 사이트로 요청을 만든다.

cross site

브라우저는 대상 도메인의 쿠키를 붙여 서버가 인증된 요청처럼 볼 수 있다.

ambient authority

예측 불가능한 token, SameSite, Origin/Referer로 의도한 요청인지 확인한다.

verify

CSRF Token

요청 의도 증명 공격 사이트가 알 수 없는 값을 상태 변경 요청에 포함시킨다.

브라우저 권한 남용 판단 기준

SameSite

쿠키 전송 제한 교차 사이트 요청에서 쿠키 자동 첨부를 줄인다.

브라우저 정책

Origin

요청 출처 확인 민감 기능에서 허용된 출처의 요청만 처리한다.

보조 검증

XSS와 차이 CSRF는 사용자의 권한을 빌려 요청을 보내는 문제다.

GET 금지 상태 변경은 GET으로 처리하지 않는다.

재인증 계좌 변경 같은 중요 기능은 추가 인증을 요구한다.