هجمات CSRF ومدى أمان تسجيل الدخول مرة واحدة وكيف يتأثر المستخدم وهل هو في خطر؟

هجمات CSRF لا تعتمد على بيانات الاعتماد المخزنة في المتصفح أو الجهاز، بل تعتمد على حقيقة أن المستخدم قد تم تسجيل الدخول بالفعل إلى موقع الويب، وعندما يقوم المستخدم بتسجيل الدخول إلى موقع ويب، يقوم الموقع بتعيين ملف تعريف ارتباط يسمى ملف تعريف ارتباط الجلسة، ويحتوي ملف تعريف ارتباط الجلسة على معرف فريد يربط المستخدم بالجلسة الحالية.

أي تعتمد على جلب عمليات غير مصرح بها من المستخدم عبر تنفيذ أوامر داخل موقع ويب حيث قد تكون المستخدم قد قام بتسجيل الدخول، والهجمات لا تستند إلى بيانات الاعتماد نفسها، بل تستفيد من جلب الجلسة (Session) النشطة في المتصفح.

وبالتبعية عندما يقوم المهاجم بتنفيذ هجوم CSRF، فإنه يقوم بإرسال طلب ويب إلى موقع الويب نيابة عن الضحية، ويتضمن الطلب ملف تعريف ارتباط الجلسة للضحية، وعند تلقى موقع الويب الطلب، فإنه يتحقق من ملف تعريف ارتباط الجلسة ويسمح للطلب بالمضي قدمًا.

وأحيانًا تُخزن بيانات الاعتماد داخل الكوكيز، وإن كان الأمر كذلك، فقد يتمكن المهاجم من استخدام هجوم CSRF للحصول على بيانات اعتماد الضحية، ولكن ذلك النوع من الهجمات أقل شيوعًا من الهجمات التي تعتمد على ملف تعريف ارتباط الجلسة.

وبيانات الاعتماد (مثل اسم المستخدم وكلمة المرور) تُرسَل عادةً في كل طلب (request)، سواء كان ذلك عبر الكوكيز أو الهيدرات (headers) الأخرى، والهجمات CSRF تستفيد من عدم فصل الجلسات بشكل صحيح.

بتاريخ 10 دقائق مضت قال سيف الدين حسنات:

- انا كمستخدم اسجل دخولي في مواقع معينة مرة واحدة فقط ثم المرات التالية ادخل الى الموقع دون تسجيل الدخول هل هذه العملية تعرض المستخدم لهجمات CSRF ؟

نعم ولا في نفس الوقت، حيث يجب على الموقع الويب تنفيذ تدابير أمان مناسبة لحماية ضد هجمات CSRF، وذلك يتضمن استخدام رموز عشوائية موقعة (CSRF tokens) في الطلبات للتحقق من أن الطلب يأتي من المستخدم الحقيقي وليس من مهاجم.

ولكن عندما تقوم بتسجيل الدخول إلى موقع ويب، يتم إنشاء ملف تعريف ارتباط جلسة جديد، وفي حال لم تقم بتسجيل الخروج من الموقع، فسيظل ملف تعريف ارتباط الجلسة هذا صالحًا.

هنا يستطيع المهاجم استخدام ملف تعريف ارتباط الجلسة لتنفيذ هجوم CSRF، مثل إنشاء رابط ويب يحتوي على رمز ضار، وعند نقر المستخدم على الرابط، يتم إرسال طلب ويب ضار إلى موقع الويب نيابة عن المستخدم.

لذا، إن استطعت، يُنصح بتسجيل الخروج بعد الانتهاء من الجلسة لضمان أمان الجلسة، وكذلك تحديث وتعزيز إجراءات الأمان على الموقع لتقليل مخاطر هجمات CSRF، والإلتزام بالتالي:

• سجل الخروج من المواقع التي لا تستخدمها بانتظام.
• استخدم أدوات الأمان التي تساعد على حماية حساباتك من الهجمات الإلكترونية.
• كن حذرًا من الروابط التي تتلقاها في البريد الإلكتروني أو من مواقع الويب التي لا تثق بها.
• إذا كنت تشك في أنك قد تعرضت لهجوم CSRF، فقم بتغيير كلمات المرور الخاصة بك على الفور.

السلام عليكم ,

نعم تعتمد هجمات الcsrf على بيانات الإعتماد الموجودة في المتصفح حيث يتم محاولة استخدام تلك المعلومات و التي فالغالب تكون اسم المستخدم و كلمة السر في أغراض ليست مناسبة .
و نعم تخزن بيانات الاعتماد أحيانا في الcookies كما يمكن تخزينها في الlocal storage 

بالنسبة للسؤال الثاني ف عادة ما تسجل المواقع بيانات الاعتماد في الcookies او الlocalstorage لذلك كمستخدمين نعم نحن معرضين لهجمات الcsrf و من واجبات المبرمجين وقايتنا منها ولسنا نحن من نتحكم في ذلك .