CSRF 공격이란 무엇이며 어떻게 예방할 수 있습니까?

CSRF(Cross-Site Request Forgery)는 웹사이트의 취약점을 악용하는 가장 오래된 방법 중 하나입니다. 일반적으로 로그인과 같은 인증이 필요한 서버 측 웹 스위치를 대상으로 합니다. CSRF 공격 중에 공격자는 피해자가 자신을 대신하여 무단으로 악의적인 웹 요청을 하도록 하는 것을 목표로 합니다.

약하거나 열악한 웹사이트 보안 관행과 사용자 경로의 부주의는 성공적인 CSRF 공격의 일반적인 원인 중 일부입니다.

CSRF 공격이 무엇이며 개발자 또는 사용자로서 이를 방지할 수 있는 가능한 방법을 살펴보겠습니다.

CSRF 공격은 어떤 영향을 미칩니까?

CSRF는 사용자 로그인 또는 인증이 필요한 웹 작업 중에 무단 요청을 구현하는 데 사용되는 공격입니다. CSRF 공격은 세션 ID, 쿠키 및 기타 서버 기반 취약점을 이용하여 사용자의 자격 증명을 훔칠 수 있습니다.

예를 들어, 안티 CSRF 절차를 활성화하면 도메인 간 악의적인 상호 작용을 방지할 수 있습니다.

해당 장벽이 무너지면 공격자는 사용자의 브라우저에서 생성된 쿠키를 통해 사용자의 세션 ID를 빠르게 이용하고 취약한 웹 사이트에 스크립트 태그를 삽입할 수 있습니다.

ID를 조작하여 공격자는 방문자를 다른 웹 페이지로 리디렉션하거나 이메일과 같은 사회 공학적 방법을 악용 하여 링크를 보내 피해자가 악성 소프트웨어를 다운로드하도록 유도할 수도 있습니다.

피해자가 이러한 작업을 수행하면 사용자의 서비스 페이지에 HTTP 요청을 보내고 공격자에게 유리한 요청 작업을 승인합니다. 이는 순진한 사용자에게 치명적일 수 있습니다.

CSRF 공격이 성공하면 인증된 사용자가 공격자에 대한 액세스 자격 증명을 잃게 될 수 있으며, 특히 암호 또는 사용자 이름 변경 요청과 같은 서버 기반 작업 중에 더욱 그렇습니다. 더 나쁜 시나리오에서는 공격자가 전체 세션을 인수하고 사용자를 대신하여 행동합니다.

CSRF는 웹을 통한 자금 거래를 가로채고 사용자 이름과 비밀번호를 변경하는 데 사용되어 사용자가 영향을 받는 서비스에 대한 액세스 권한을 잃게 됩니다.

공격자가 CSRF로 세션을 가로채는 방법: 예

CSRF 공격의 주요 대상은 사용자 인증과 관련된 웹 작업입니다. 성공하려면 피해자의 의도하지 않은 행동이 필요합니다.

CSRF 공격 중에는 GET, DELETE 및 PUT 작업과 취약한 POST 요청이 공격자의 주요 대상입니다.

해당 용어의 의미를 살펴보겠습니다.

• GET: 데이터베이스에서 결과를 수집하기 위한 요청. 예를 들어, 구글 검색.
• POST: 일반적으로 웹 양식을 통한 요청 제출용입니다. POST 요청은 사용자 등록 또는 로그인(인증이라고도 함) 동안 일반적입니다.
• DELETE: 데이터베이스에서 리소스를 제거합니다. 특정 웹 서비스에서 계정을 삭제할 때마다 이 작업을 수행합니다.
• PUT: PUT 요청은 기존 리소스를 수정하거나 업데이트합니다. 예를 들면 Facebook 이름을 변경하는 것 입니다.

실제로 공격자는 세션 하이재킹을 사용하여 CSRF 공격을 백업합니다. 이 조합을 사용할 때 공격자는 하이재킹을 사용하여 피해자의 IP 주소를 변경할 수 있습니다.

그런 다음 IP 주소가 변경되면 공격자가 CSRF를 통해 생성한 복제된 양식 또는 수정된 서버 요청을 제출하는 기만적인 링크를 삽입한 새 웹사이트에 피해자를 기록합니다.

그런 다음 순진한 사용자는 리디렉션이 서비스 제공자로부터 온 것이라고 생각하고 공격자의 웹 페이지에 있는 링크를 클릭합니다. 해커가 이 작업을 수행하면 페이지 로드 시 자신도 모르게 양식을 제출합니다.

GET 요청 CSRF 공격의 예

보안되지 않은 전자 상거래 플랫폼을 통해 온라인 결제를 시도한다고 상상해 보십시오. 플랫폼 소유자는 GET 요청을 사용하여 거래를 처리합니다. 해당 GET 쿼리는 다음과 같을 수 있습니다.

https://websiteurl/pay?amount=$10&company=[company ABC's account]

하이재커는 GET 요청의 매개변수를 변경하여 트랜잭션을 쉽게 훔칠 수 있습니다. 이렇게 하기 위해 그들이 해야 할 일은 당신의 이름을 그들의 이름으로 바꾸는 것이고, 더 나쁜 것은 당신이 지불할 금액을 바꾸는 것입니다. 그런 다음 원래 쿼리를 다음과 같이 조정합니다.

https://websiteurl/pay?amount=$20000&company=[attacker's account]

수정된 GET 요청에 대한 링크를 클릭하면 결국 공격자의 계정으로 의도치 않게 전송됩니다.

GET 요청을 통한 거래는 나쁜 습관이며 활동을 공격에 취약하게 만듭니다.

POST 요청 CSRF 공격의 예

그러나 많은 개발자는 웹 트랜잭션을 수행하는 데 POST 요청을 사용하는 것이 더 안전하다고 생각합니다. 그것이 사실이지만 불행히도 POST 요청은 CSRF 공격에도 취약합니다.

POST 요청을 성공적으로 가로채기 위해 공격자는 현재 세션 ID, 일부 복제된 보이지 않는 형식, 때로는 약간의 사회 공학만 있으면 됩니다.

예를 들어 POST 요청 양식은 다음과 같습니다.

그러나 공격자는 새 페이지를 만들고 위의 양식을 다음과 같이 수정하여 자격 증명을 교환할 수 있습니다.

조작된 양식에서 공격자는 금액 필드의 값을 "30000"으로 설정하고 받는 사람의 계좌 번호를 그들의 계좌 번호로 바꾸고 페이지 로드 시 양식을 제출하고 사용자로부터 양식 필드를 숨깁니다.

그들이 현재 세션을 가로채고 나면 트랜잭션 페이지가 공격자의 페이지로 리디렉션을 시작하여 가장 방문할 가능성이 높은 링크를 클릭하라는 메시지를 표시합니다.

이것을 클릭하면 귀하의 자금이 공격자의 계정으로 이체되는 복제된 양식의 제출이 로드됩니다. 즉, JavaScript가 다음 웹 페이지를 로드할 때 자동으로 이 작업을 수행하므로 트랜잭션이 발생하기 위해 "보내기"와 같은 버튼을 클릭할 필요가 없습니다.

또는 공격자가 동일한 페이지 로드 양식 제출을 수행하기 위해 링크를 클릭하라는 메시지를 표시하는 HTML 포함 이메일의 초안을 작성할 수도 있습니다.

CSRF 공격에 취약한 또 다른 작업은 PUT 요청의 예인 사용자 이름 또는 비밀번호 변경입니다. 공격자가 귀하의 요청 양식을 복제하고 귀하의 이메일 주소를 자신의 이메일 주소로 바꿉니다.

그런 다음 세션을 훔쳐 페이지로 리디렉션하거나 매력적인 링크를 클릭하라는 이메일을 보냅니다.

그런 다음 비밀번호 재설정 링크를 귀하 대신 해커의 이메일 주소로 보내는 조작된 양식을 제출합니다. 그렇게 하면 해커가 귀하의 비밀번호를 변경하고 귀하를 계정에서 로그아웃시킵니다.

개발자로서 CSRF 공격을 방지하는 방법

CSRF를 방지하는 가장 좋은 방법 중 하나는 서버에서 상태 변경을 실행하기 위해 세션 쿠키에 의존하는 대신 자주 변경되는 토큰을 사용하는 것입니다.

관련: 디지털 보안을 이해하고 개인 정보를 보호하기 위한 무료 가이드

많은 최신 백엔드 프레임워크는 CSRF에 대한 보안을 제공합니다. 따라서 CSRF를 직접 강화하는 기술을 피하고 싶다면 내장된 안티-CSRF 토큰과 함께 제공되는 서버 측 프레임워크를 사용하여 쉽게 해결할 수 있습니다.

안티 CSRF 토큰을 사용하는 경우 서버 기반 요청은 보다 정적으로 취약한 세션 쿠키 대신 임의의 문자열을 생성합니다. 그렇게 하면 납치범이 세션을 추측하지 못하도록 보호할 수 있습니다.

웹 앱에서 트랜잭션을 실행하기 위해 2단계 인증(2FA) 시스템을 구현하면 CSRF의 가능성도 줄어듭니다.

주석 양식과 같은 사용자 필드에 스크립트를 삽입하는 XSS(교차 사이트 스크립팅)를 통해 CSRF를 시작할 수 있습니다. 이를 방지하려면 웹사이트의 모든 사용자 양식 필드에서 HTML 자동 이스케이프를 활성화하는 것이 좋습니다. 이 작업은 양식 필드가 HTML 요소를 해석하는 것을 방지합니다.

사용자로서 CSRF 공격을 방지하는 방법

인증과 관련된 웹 서비스의 사용자로서 공격자가 CSRF를 통해 자격 증명과 세션을 훔치는 것을 방지하는 역할도 해야 합니다.

자금 이체와 관련된 활동 중에 신뢰할 수 있는 웹 서비스를 사용하고 있는지 확인하십시오.

이 외에도 세션 노출로부터 사용자를 보호 하는  보안 웹 브라우저 와 검색 데이터 유출을 방지하는 보안 검색 엔진을 사용합니다.

관련:  귀하의 데이터를 존중하는 최고의 개인 검색 엔진

사용자 는 웹을 통해 신원을 확인하기 위해 Google Authenticator 또는 그 대안 과 같은 타사 인증자에 의존할 수도 있습니다 .

공격자가 세션을 가로채는 것을 막는 것이 무력하다고 느낄 수도 있지만 브라우저가 암호 및 기타 로그인 세부 정보와 같은 정보를 저장하지 않도록 하여 이를 방지할 수 있습니다.

웹 보안 강화

개발자는 개발 및 배포 중에 보안 위반에 대해 웹 앱을 정기적으로 테스트해야 합니다.

그러나 다른 취약점을 방지하면서 다른 취약점을 도입하는 것이 일반적입니다. 따라서 CSRF를 차단하려고 시도하는 동안 다른 보안 매개변수를 위반하지 않았는지 확인하십시오.