Выбор ответа Middle Безопасность фронтенда спрашивают часто обновлено
Когда отправляется SameSite=Lax
Вопрос
Сессионная кука сайта bank.ru выставлена с SameSite=Lax. В каком случае браузер приложит её к запросу, начатому со страницы evil.ru?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Пользователь кликнул по обычной ссылке на https://bank.ru/. Lax отправляет куку только при навигации верхнего уровня безопасным методом (GET), то есть при переходе по ссылке.
Варианты ответа
- Скрытая форма с
method="POST"отправляется наbank.ru/transfer fetch('https://bank.ru/api', { credentials: 'include' })с evil.ru- Картинка
<img src="https://bank.ru/logout">на странице evil.ru - Пользователь кликнул по обычной ссылке на
https://bank.ru/правильный ответ
Разбор
Lax отправляет куку только при навигации верхнего уровня безопасным методом (GET), то есть при переходе по ссылке. В межсайтовые POST-формы, fetch и подзапросы вроде картинок и iframe кука не попадает. Поэтому Lax закрывает классический CSRF через форму, но GET-запросы, меняющие состояние, остаются опасными.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.
Термины по теме
Ещё по теме «Безопасность фронтенда»
- Защита на уровне заголовков
- XSS и как от него защищаться
- CSP
- CSRF
- Site и origin
- XSS
- Защита от кликджекинга
- Защищает ли CORS от CSRF