Een webapplicatie heeft een kwetsbaarheid waarbij, als een ingelogde gebruiker een door een aanvaller klaargezette valpagina opent, de browser van de gebruiker verzoeken naar de legitieme site stuurt die de gebruiker niet bedoelde, zoals geld overmaken of instellingen wijzigen. Welke tegenmaatregel is geschikt?

Antwoord: A. In de formulieren voor belangrijke handelingen een onvoorspelbare willekeurige waarde (token) per sessie opnemen en bij ontvangst van een verzoek controleren of die waarde klopt

Deze kwetsbaarheid heet cross-site request forgery (CSRF). Bij een verzoek naar de legitieme site voegt de browser automatisch de cookies van die site (de informatie van de ingelogde sessie) toe, ongeacht vanaf welke pagina het verzoek is verstuurd. Als de server een verzoek alleen op basis van cookies als een echte handeling van de ingelogde gebruiker beoordeelt, accepteert hij dus ook verzoeken die een valpagina de browser heeft laten versturen. De basistegenmaatregel is een onvoorspelbare willekeurige waarde per sessie (een CSRF-token) alleen in de legitieme formulieren op te nemen en die op de server te controleren. De valpagina kan deze waarde niet te weten komen en dus geen geldig verzoek opbouwen. Andere maatregelen zijn onder meer het attribuut SameSite gebruiken, zodat cookies niet worden meegestuurd met verzoeken vanaf andere sites, en het wachtwoord opnieuw laten invoeren vóór belangrijke handelingen zoals geld overmaken. Het verschil met XSS is dat XSS een kwaadaardig script in de site inbedt, terwijl CSRF de browser van de gebruiker legitiem ogende verzoeken laat versturen.