CSRF: e-mailcímet, jelszót, pénzt lophatnak sértetlenül

Az online veszélyeket eddig el lehetett kerülni azzal, ha felismerjük az adatainkat kicsikarni próbáló (phishing) e-maileket vagy a hasonló célokra szakosodott kártékony weboldalakat. Ezen ésszerű szokásokon lépnek túl a CSRF mozaikszóval jelölt támadások, amelyek koránt sem láthatóak és olyan oldalakról érkezhetnek, amelyeket teljesen megbízhatónak tartunk.

Egy ilyen támadás során a támadó egy kódrészletet helyez el valamelyik sokak által látogatott oldalon (fórumon vagy chatboardon), ami egyúttal el is indítja a számunkra kellemetlen következményekkel járó akciót egy olyan távoli weboldalon, ahova már korábban bejelentkeztünk. Ha például tárolunk gépünkön egy olyan cookie-t, ami azért felelős, hogy automatikusan bejelentkezzünk bankunk online felületére, akkor a támadó képes kiadni magát a mi nevünkben és anélkül tud kifosztani minket, hogy tudnánk róla.

A CSRF-ről az hírlik, nem az internet "sötét sarkaiban" található, hanem bármelyik oldalon ráakadhatunk. A felfedezésért felelős két szakember, Ed Felten és Bill Zeller azonban kivizsgálta a sebezhetőséget és felhívta rá a rendszergazdák figyelmét, leszámítva a New York Times-ot sújtó folyamatos támadásokat, amelyekről most derült ki: egy éve nem tesznek ellenük semmit a felelős szakemberek. A támadók az oldal azon részét figyelik, amelyen az olvasók az általuk érdekesnek tartott cikkeket ismerőseiknek küldik át, így teljes emailcím-listájuk van az olvasókról, amit aztán spamelésre használhatnak fel.

A szakemberek felhívják a figyelmet: ha aggódunk amiatt, hogy a CSRF-támadásokkal mások kellemetlenségeket okozhatnak nekünk, használjuk a Firefox böngészőjét és telepítsük hozzá azt a No Script add-ont, ami letiltja a hasonló kódrészletek futtatását, illetve ha elhagyunk egy weboldalt, mindig lépjünk ki előtte.