CSRF 토큰에 관련해서 궁금한게있습니다.

Question

제가 만들고있는 웹페이지에 CSRF 토큰을 적용하기위해서 인터넷에 검색하여 좀 알아본 결과임의의 값을 토큰을 만들어 서버와 클라이언트가 비교하여 외부에서 무단접근을 했는지 알아보는 형식으로 되어있다고 이해했습니다. 그리고 토근 검증을 위해서 FORM 테그에 토근 정보값을 날리기 위해 히든 인풋값에 적어 인증을 진행하여 넘어가는것까지는 이해하고 적용하여 결과물을 봤습니다. 한 가지 궁금한건.. ajax를 통한 파라미터 post 전송은 폼테그가 아니라 파라미터를 직접 호출하여 가공하기 때문에 매번 적어줘야 하는데 이를 편하게 하기위해서 <meta>테그에 토큰 정보를 저장시켜서 받아 쓸수 있다. 라고 설명하는걸 보았습니다. 토큰 값이라는것이 외부에 노출되면 안될탠데 사용하는 곳에서만 데이터가 떠있는것도아니고 메타태그에 계속 그정보가 따라다니면서 표출 한다면 보안 취약점이 있을까요 ? 아니면 제가 생각 못한 어떠한 기능이나 설정 때문에 문제가 없는걸까요 ? 검색 스킬이 낮아.. 방법만 나오고 이렇게 했을때의 리스크가 없는지에 대해서는 찾을수 없어 질문 드립니다!

RKA · Accepted Answer

CSRF가 아마 세션과 함께 물려서 동작하는 것으로 알고 있습니다.A 사용자의 세션 &#43; CSRF 토큰과 함께요.이때 중요한건, 요청 응답시 마다 (페이지를 옮길 때마다)CSRF 토큰은 바뀝니다. 즉 누군가 세션을 강탈해도, CSRF 토큰이 없기에세션만으로는 악의적으로 사용될 수는 없다는 것이죠. 메타태그에 계속 그정보가 따라다니면서 표출 한다면 보안 취약점이 있을까요 ? 개인적으로는 없다고 생각됩니다. 더불어 token 방식의 stateless한 통신에서는사용이 불가능한 것으로 알고 있습니다.

Dierslair · Answer

csrf 토큰은 request마다 다른 값이 할당되므로 괜찮습니다. 만약 하나의 고정된 값이라면 작성자님 말씀대로 문제가 있겠으나, 서버에서 파라미터나 헤더로 보내진 csrf 토큰과 서버의 토큰 저장소의 토큰을 비교하므로 Origin 서버에서 보낸 요청이라는 것만 확인되면 문제가 없습니다.

아데니아 · Answer

&#64;ROJAEKA, &#64;John Suhr 답변 주신 두 분 감사드립니다.두 분 답변으로 대충 어떻게 되는건지 알것같습니다.간단하게 한 가지만 더 질문드려도될까요 ? 브라우저에서 토큰 발급 후 쿠키 삭제나 일정 시간이 지난 후에 다시 접속하면 토큰 값이 바뀌는걸 확인 가능합니다.하지만 바로 새로고침하거나 바로 다음 페이지로 넘어갈떄는 토큰 값이 동일하게 유지되더군요.. 혹시 이것은 설정 문제일까요 ?

CSRF 토큰에 관련해서 궁금한게있습니다.

3개의 답변

#csrftoken 목록