[Перевод] Современный подход к предотвращению CSRF/CORF-атак в Go

Команда Go for Devs подготовила перевод статьи о новом подходе к защите Go-приложений от CSRF/CORF-атак. Автор разбирает, как связка TLS 1.3, SameSite cookies и http.CrossOriginProtection из стандартной библиотеки позволяют отказаться от токенов — но только если соблюдены важные условия. Насколько безопасен такой подход? Разбираемся.

https://habr.com/ru/articles/968132/

#go #csrf #tsl #безопасность #браузеры #защита #samesite

Кликджекинг по двойному щелчку. Новый приём обманного UI

Кликджекинг (подделка UI) — известный приём обмана пользователей интернета, когда поверх видимой страницы располагается невидимый слой, куда загружается фальшивка. То есть пользователю кажется, что он вводит пароль на доверенной странице, но на самом деле вводит его в стороннюю форму, которая принадлежит злоумышленнику. В последние годы его риск значительно снизился, потому что все браузеры по умолчанию запретили межсайтовые куки, в то время как самые опасные варианты использования требуют авторизации жертвы на целевом сайте. Однако несколько месяцев назад в Сети впервые замечены случаи кликджекинга по двойному щелчку . Вредоносные действия выполняются в промежутке между первым и вторым кликами незаметно для жертвы. Более продвинутая версия атаки работает практически на всех сайтах и в любых браузерах.

https://habr.com/ru/companies/globalsign/articles/920760/

#DoubleClickjacking #JavaScript #кража_аккаунта #XFrameOptions #CSP #SameSite #межсайтовые_куки #межсайтовый_скриптинг #двойной_щелчок #double_click #двойное_нажатие

⚡ Quick Tip: Four ini tweaks to get safer sessions in PHP 8 web applications.

Since their mode is defined as INI_ALL they can be set anywhere: from your code (as in a front controller, for an example), user scripts (*.ini, including php.ini itself), global server configuration (httpd.conf) or .htaccess files.

🐘 🌐 🔒 🍪#php #samesite #referer #cookies #configuration #session #security #devops

> 2020年2月のALBのアップデートで、ALBがChromium 80以降のUser-AgentならSameSite=Noneを付与するようになった
> そのさいcookie headerの文字数が上限を超えてしまうことがある

#SameSite 属性対応のおかげで #HTTPクッキー の長さ上限を突破してしまうらしいが、 #AWS 側の検証不足のような気がする…
https://blog.sushi.money/entry/2020/02/17/105927

RT @[email protected]

In-depth but accessible exploration of the upcoming #SameSite cookie 🍪 changes. You've only got 2 months left to fix this, so if you don't know what I'm talking about then go read this blog. https://twitter.com/_panva/status/1199288733872377858

RT @[email protected]

I'm trying to make it easier to understand what your browser does with #samesite cookies, so I made this little testing site. https://samesite-sandbox.glitch.me/ 🍪📋✅ It's not quite fully baked, but I'd love feedback on if this makes sense to you, improvements, etc. Let me know!