Выбор ответа Middle CSRF, SameSite и CORS обновлено
CSRF-токен
Вопрос
Какое свойство CSRF-токена делает его защитой?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Он случайный, привязан к сессии, и сайт атакующего не может его узнать. Атакующий может заставить браузер отправить запрос, но не может прочитать страницу с токеном из-за same-origin policy.
Варианты ответа
- Он зашифрован AES ключом сервера, и атакующий не сможет его подделать
- Он случайный, привязан к сессии, и сайт атакующего не может его узнатьправильный ответ
- Он передаётся в cookie с флагом HttpOnly, и скрипт атакующего его не прочтёт
- Он одинаков для всех пользователей, и сервер проверяет его без обращения к сессии
Разбор
Атакующий может заставить браузер отправить запрос, но не может прочитать страницу с токеном из-за same-origin policy. Шифрование не обязательно, важна непредсказуемость и привязка к сессии. Токен только в cookie бесполезен: cookie прикладывается автоматически. Общий токен для всех атакующий просто получит у себя.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.