Názory k článku Bezpečnostní novinky v prohlížečích: ochrana CSRF a důvěryhodná metadata
-
Ondřej CaletkaZlatý podporovatelJe s použitím tokenu spojená nějaká nevýhoda? Nebo se to nedoporučuje jen pro nové aplikace?
-
Su s tym spojene komplikacie ktore musite riesit vo vasej aplikacii. Obcas token pregenerovat, niekto hovori ze pri kazdom requeste ja myslim ze staci per session jeden. Ak ho generujete a osetrujete ako poslat linku kolegovi cez mail? Ako riesit <back button (stary token), ... a kopec dalsich veci a iba zopakujem, vsetko treba riesit aplikacne. CORS policy si nastavite obvykle pri deployment v servri (reverse proxy alebo aplikacny server) a aplikacia samotna nemusi vobec nic riesit.
-
FILIP JIRSÁKStříbrný podporovatelHlavní nevýhoda je, že token neřeší ten problém, ale spíš ho obchází. Problém je, že je možné požadavky posílat i z jiných stránek. A token dělá to, že požadavek musí být svázaný se zobrazením stránky, která má požadavek provádět. To ale jde proti principům webu, kdy má být každý zdroj samostatný. Když to tak není, přestávají fungovat tlačítka zpět a vpřed, obnova stránky, odkazy apod.
-
To zas celkom nie je pravda. Cele presmerovanie na linku fungovat bude. Problem je ked sa 'embeduje/integruje' cast ineho webu na moju stranku co sa da zneuzit na utok.
CORS vam v tom ale efektivne zabrani tiez pretoze z dovodu bezpecnosti sa obvykle nastavuje ze fetch z inej stranky nez mojej je zakazany. -
FILIP JIRSÁKStříbrný podporovatel
Nevím, co je „přesměrování na linku“, každopádně pokud bude odkaz obsahovat časově omezený token, přestane po chvíli platit. Pokud se eviduje použití tokenů a každý se může použít jenom jednou, přestane odkaz platit hned po prvním použití.
-
FILIP JIRSÁKStříbrný podporovatel
CORS nezablokuje zobrazení webové stránky, týká se jen zdrojů. Aplikace, kde někdo radši narve tokeny všude možně je nejspíš bude mít i na webových stránkách.
-
FILIP JIRSÁKStříbrný podporovatel
Z pohledu webové stránky je obsah iframe zdroj. Když AJAXem stáhnete do webové stránky HTML, je to také zdroj. (Zdroj je Resource, tedy to „R“ v CORS).
Webová stránka je URL, které je v adresním řádku prohlížeče. To je ta kotva, ke které se kontroluje CORS (je to to „O“ v CORS – Origin). iframe (nebo jiný rámec) to trochu komplikuje a vytváří svůj vlastní origin, ale vůči stránce, uvnitř které je zobrazen, vystupuje jako zdroj.
