¿Por qué Google no bloquea el cierre de sesión CSRF?

1

Google es un ejemplo famoso de no bloqueando CSRF en páginas de cierre de sesión / cierre de sesión.

  

Algunos reporteros de vulnerabilidades se ponen en contacto con nosotros sobre la posibilidad de cerrar sesión   Usuarios de Google mediante la navegación de su navegador a una URL particular. En algunos   formas, este comportamiento es indeseable, pero creemos que no puede ser   Se aborda de manera confiable en la web moderna: por ejemplo, sitios web maliciosos   También puede simplemente desbordar el tarro de cookies del navegador y soltar su   Cookies de autenticación para otros sitios web en Internet.

A partir de hoy respuesta más popular a ¿La acción de inicio de sesión y de cierre de sesión tiene protección CSRF? no está de acuerdo, citando preocupaciones de phishing. La segunda respuesta más popular dice que no es necesario, pero el ataque podría causar inconvenientes. La tercera respuesta dice que la protección es una necesidad.

¿Por qué Google toma una postura contraria aquí? ¿Por qué Google mantiene esta postura y / o por qué tan pocas personas parecen estar de acuerdo?

Nota: numerosos lugares en línea hacen referencia al hecho de que Google ha discutido este "ad nauseum", pero no encontré las discusiones reales.

Editar : no es solo Google, pero muchos sitios importantes hacen esto.

Edit 2 : esta pregunta no es un duplicado de ¿El inicio de sesión y la acción de cierre de sesión tienen protección CSRF? porque no estoy preguntando si una página necesita tener protección CSRF de cierre de sesión o no. Estoy preguntando

  1. El razonamiento de Google para su postura es (ellos proporcionaron solo una parte de su razonamiento en el extracto citado) y
  2. ¿Por qué hay una división aparente entre Google y las respuestas a esa pregunta?

Esta pregunta trata principalmente de desentrañar el razonamiento de la decisión de seguridad de Google, un estudio de caso detallado en lugar de un tratamiento amplio.

    
pregunta jtpereyda 13.10.2016 - 01:18
fuente

1 respuesta

1

Logoff CSRF no tiene un impacto real. CSRF también se conoce como un ataque de "sesión montada", en el cual un adversario desea usar la sesión autenticada para tener algún efecto secundario útil . Terminar la sesión es contraproducente para un compromiso real, como cambiar el correo electrónico o la contraseña en la cuenta de un objetivo.

La mayoría de las funciones son vulnerables a CSRF de forma predeterminada, y el desarrollador tiene que hacer todo lo posible para detener el problema. La búsqueda en Google también se ve afectada por CSRF, y no tiene impacto, porque esta solicitud no tiene un efecto secundario interesante. Una solicitud de búsqueda de Google solo muestra datos interesantes que el atacante no puede ver.

    
respondido por el rook 13.10.2016 - 01:38
fuente

Lea otras preguntas en las etiquetas