CSRF 사이트 간 요청 위조

CSRF는 사용자가 로그인한 서비스에 의도하지 않은 요청을 보내도록 유도해 그 사용자의 권한으로 작업이 수행되게 하는 공격입니다.

브라우저가 자동으로 첨부하는 인증 정보와 서버의 요청 검증 부족이 결합할 수 있습니다. 요청이 로그인 사용자에게서 왔다는 사실과 사용자가 그 작업을 의도했다는 사실은 다릅니다.

중요한 변경 요청에 예측하기 어려운 CSRF 토큰을 확인하고 출처 및 요청 방식의 조건을 검증하는 설계가 있습니다.

CSRF와 XSS는 원인이 다릅니다. SameSite 쿠키는 도움이 될 수 있으나 모든 흐름을 보호하지 않으며 Origin 검증과 토큰 방식도 적용 조건이 다릅니다.

GET 요청으로 상태를 바꾸거나 토큰 검증을 일부 경로에서 빠뜨리면 보호 공백이 생깁니다. 로그인, 계정 연결과 API의 실제 인증 방식을 기준으로 검증합니다.

이 절의 용어: CSRF token / 요청 위조 방지 토큰

CSRF 토큰은 서버가 중요한 요청의 의도와 세션 연결을 검증하도록 사용하는 예측하기 어려운 값입니다. 요청에 포함됐다는 사실뿐 아니라 유효성과 해당 세션 또는 흐름의 연결을 확인해야 합니다. 토큰을 민감하지 않은 공개 자료처럼 로그나 URL에 노출하지 않습니다.