¿Por qué son necesarios dos tokens CSRF (campo oculto y cookie) para mitigar los ataques CSRF?

El patrón que está describiendo se conoce como "cookie de envío doble", y es una forma común de defenderse contra CSRF. El punto aquí es que no requiere que el servidor recuerde el token. El cliente envía el token en una cookie y de alguna otra manera, por ejemplo. en un campo de formulario. El servidor comprueba que ambos tokens son idénticos.

Esto funciona porque el atacante no puede leer ni escribir la cookie y, por lo tanto, no puede reproducirla en el campo de formulario. Por eso hay que enviarlo dos veces:

• Si solo hubiera una cookie, se enviaría automáticamente en cada solicitud y no ofrecería ninguna protección.
• Si solo hubiera un campo de formulario, no habría nada con qué compararlo y el atacante podría ingresar cualquier valor.

Hay otras defensas contra CSRF, que solo usan un token. Lo más común es simplemente almacenar el valor correcto en una variable de sesión en el servidor y verificar que un campo de formulario coincida. No se necesita ninguna cookie. Sin embargo, esto tiene el inconveniente de que el servidor debe mantener un estado por usuario.

Un token es suficiente siempre que sea el campo de formulario oculto, y es por solicitud (lo que significa que recibe un token en cada respuesta que se enviará en la próxima solicitud). Tenga en cuenta que el token no debe almacenarse en una cookie ya que las cookies se envían automáticamente.

Hay diferentes maneras de hacer las cosas (y algunas son específicas del marco). El proceso de dos token también sirve como una buena manera de resolver el problema CSRF. El token en la cookie y en la página están criptográficamente vinculados. Por lo tanto, el servidor tiene que hacer esta verificación y continuar con el procesamiento de esta solicitud si todo está bien.

Para evitar ataques CSRF, el token CSRF debe coincidir con el token esperado.

El sitio web necesita almacenar el token esperado, y una forma común de hacerlo es mediante la configuración de una cookie.

Si ambos tokens coinciden, entonces el formulario es válido.