Protección CAS contra ataques CSRF

Question

Protección CAS contra ataques CSRF

#1 de xdhmoore (1 votos)

3

Un sitio web basado en Apache Struts utiliza central authentication service (cas) para iniciar sesión. Me gustaría saber si es necesario proporcionar protección adicional csrf con Struts en caso de que cas no proporcione eso.

Además, cuando se envían las credenciales, cas genera un token en forma de URL. Si copio esta URL y la uso más tarde, el usuario se autentica y se redirige a la página de inicio.

Como no estoy iniciando sesión, pero solo uso la URL del token, ¿por qué sucede esto? ¿Es esto una vulnerabilidad de seguridad?

authentication cookies csrf

pregunta user235498 06.06.2014 - 12:26

fuente

1 respuesta

Lea otras preguntas en las etiquetas authentication cookies csrf

¿Qué es DDOS TCP KILL? ¿Hay dispositivos de cifrado de hardware disponibles comercialmente a través de USB? [cerrado]

score 1 · Answer 1

Esto es antiguo, pero debe ... obtener ... puntos ... de Internet ...

Tal vez solo te estés refiriendo a la protección CSRF en la página de inicio de sesión, pero si te refieres en general:

Todavía soy nuevo en el protocolo CAS, pero tengo entendido que la única validación de tiempo es al principio antes de que tenga un ID de sesión en la aplicación de servicio. Una vez que se genera esto, ya no se necesita más contacto con el servidor CAS y no se necesita boleto de servicio, por lo que el ST de CAS no puede protegerlo de los ataques CSRF.

Ver: enlace

Me imagino que el token que mencionas es el parámetro "ST" (ticket de servicio). Una vez más, esto es nuevo en este tema, pero me parece que no deberías poder usarlo más de una vez, así que quizás haya sido un error, o tal vez haya cambiado la especificación:

enlace

Sin embargo, si aún tienes la cookie de tu sesión, no necesitas el ST, así que tal vez eso fue lo que produjo ese comportamiento.