javascript - Tomcat での CSRF 保護

Question

Tomcat で CSRF の脆弱性を防ぐにはどうすればよいですか?

アプリケーションに Tomcat サーバーを使用していますが、CSRF 攻撃からアプリケーションを保護する必要があります。これを行うためのテクニックはありますか？

Answer 1

Tomcat7およびTomcat6.0.30にはCSRF保護が組み込まれています（アクティブ化する必要があります）。

http://www.tomcatexpert.com/blog/2011/05/09/cross-site-request-forgery

Answer 2

まずトムキャット。私が間違っていることを証明してください。しかし、CSRF の脆弱性は現在、コンテナー自体には存在しないと思います。

その他の Tomcat の脆弱性が気になる場合は、SecurityFocusのいくつかのメーリング リスト、特に BugTraq に登録し、Tomcat 5 セキュリティ ページを頻繁にチェックすることをお勧めします。そして最も重要なことは、Tomcat にパッチを適用して最新の状態に保つことです。


アプリケーションに関しては、コードを知らずにアプリケーションを保護する方法を説明するのは難しいですが、ここ OWASP Wikiには、CSRF 脆弱性を理解し、回避し、テストするための一般的なアプローチがいくつかあります。

もう 1 つのオプションは、 「CSRF 防止フィルター」を備えたTomcat 7を早期に採用することです。これを Tomcat 5/6にバックポートしたい人もいます。