Kiber Howpsuzlyk gündeligi, Gün 3: Sessions, CSRF atakasy, SameSite Cookie-lar barada.
Bu gezek web applicationlar-da datalary, ulanyjy maglumatlary saklamakda kömek etýän emma dogry ulanylmasa gaty uly howplar döredip bilýän meselelere serederis.
HTTP näme?
Session näme?
CSRF (Cross-Site Request Forgery) näme?
form action="https://bank.com/transfer" method="POST" id="csrf-form">
input type="hidden" name="amount" value="1000"/>
input type="hidden" name="to_account" value="attacker_account"/>
script>
document.getElementById("csrf-form").submit();
Beýle atakalaryň nädip öňüni almaly?
Developer-lar SameSite Cookies diýp bir gorag mekanizmasyny döretdiler. Bu mekanizma başga bir web sahypalardan edilen request-lary bloklaýar we diňe birine rugsat berýär.
res.cookie('session', 'user123', { httpOnly: true, sameSite: 'Strict' });
Ýokardaky görkezilen merkanizmalary ulanyp developer-lar ulanyjylary aňsatlyk bilen beýle atakalardan gorap bilerler.
Netije
Görüşimiz ýaly CSRF atakasy biz ulanyjylar üçin örän zeperli bolup biler. Beýle atakalardan özümizi goramak islesek, hökmän login/register bolan website-laryňyzdan çykyp durun(has wajyp informasiýalaryňyzy saklaýan bolsa). Ynamly däl web sahypalara girmäň. Has wajyp informasiýalaryňyzy saklaýan web sahypalara incognito mode giriň. Nätanyş linklere basman hereket etseňiz, bular ýaly atakalardan özüňizi gorap bilersiňiz. Wagtyňyzy aýyryp okanyňyz üçin örän minnetdar! Soraglaryňyz bolsa arkaýyn kommentariýa belläp bilersiňiz.
