Verhindern, dass Anwender eine Warnung zur Umgehung der CSRF-Validierung akzeptieren [aktualisiert in Security Center 1,3 und 1,5]

Verwenden Sie glide.security.csrf.strict.validation.modeEigenschaft zum Aktivieren der strikten Validierung des CSRF-Tokens. Wenn das CSRF-Token nicht übereinstimmt, wird die erneute Übermittlung der Anforderung verhindert.

Diese Eigenschaft verhindert, dass Anwender eine Warnung akzeptieren können, die das Senden einer potenziell schädlichen Anforderung an die Instanz ermöglicht. Diese Warnung wird angezeigt, wenn eine POST-Anforderung aufgrund eines falsch übereinstimmenden Anti-CSRF-Tokens fehlschlägt, das zu einer der anderen aktiven Sitzungen des Opfers gehört. Wenn glide.security.csrf.strict.validation.modeIst nicht auf den empfohlenen Wert „wahr“ festgelegt, kann ein Angreifer einen CSRF-Angriff mithilfe eines ausgelesenen Anti-CSRF-Tokens aus einer anderen aktiven Sitzung, die zum Opfer gehört, formulieren. Eine POST-Anforderung an eine Instanz enthält ein Anti-CSRF-Token in „sysparm_ck“ oder „X-UserToken“, das der aktuellen Sitzung des Anwenders entspricht.

Wenn das Anti-CSRF-Token stattdessen an eine der anderen aktiven Sitzungen des Anwenders gebunden ist, gibt die POST-Anforderung eine 302-Umleitung an Security_Interceptor.do zurück, wobei dem Anwender eine Schaltfläche „Fortfahren“ zur Verfügung steht, wenn diese Eigenschaft auf „falsch“ festgelegt ist. Wenn Sie auf diese Schaltfläche klicken, wird die Anforderung erneut an die Instanz gesendet, es sei denn, sie verfügt jetzt über ein gültiges Anti-CSRF-Token. Wenn diese Eigenschaft auf „wahr“ festgelegt ist, zeigt die 302-Weiterleitung zur Seite „Security_interceptor.do“ keine Schaltfläche „Fortfahren“ an, und der Anwender darf die Anforderung nicht erneut übermitteln.Ein erfolgreicher CSRF-Angriff ermöglicht es einem Angreifer, jeden Vorgang effektiv auszuführen, den das Opfer ausführen kann.

Weitere Informationen

Attribut	Beschreibung
Eigenschaftsname	glide.security.csrf.strict.validation.mode
Konfigurationstyp	Systemeigenschaften (/sys_properties_list.do)
Kategorie	Zugriffssteuerung
Zweck	Dient zum Erzwingen einer strikten Validierung des CSRF-Tokens und verhindert die Wiederverwendung.
Datentyp	Boolean
Empfohlener Wert	wahr
Standardwert	wahr
Sicherheitsrisikobewertung	(Mittel) Cross Site Request Forgery ist ein erhebliches Sicherheitsrisiko, das die Integrität der Instanzdaten verletzt. Ein Angreifer kann den CSRF-Angriff auf jeden Instanzanwender starten, indem er das Vertrauen des Instanzanwenders missbraucht. Mit Hilfe von Social Engineering-Angriffen kann ein Benutzer im Namen des Angreifers eine fehlerhafte Anforderung an die Instanz senden.
Sicherheitsrisikobewertung	3,7
Funktionale Auswirkung	Diese Korrektur ermöglicht einen zusätzlichen Validierungsschritt, bevor der Instanzanwender eine Schreibanforderung an die Instanz sendet. Überprüft, ob das aktuelle CSRF-Token zuvor verwendet wurde. Wenn ja, wird die Übermittlung weiterer Schreibanforderungen verhindert.
Sicherheitsrisiko	(Mittel) Cross Site Request Forgery ist ein erhebliches Sicherheitsrisiko, das die Integrität der Instanzdaten verletzt. Ein Angreifer kann den CSRF-Angriff auf jeden Instanzanwender starten, indem er das Vertrauen des Instanzanwenders missbraucht. Mit Hilfe von Social Engineering-Angriffen kann ein Benutzer im Namen des Angreifers eine fehlerhafte Anforderung an die Instanz senden.

Zurück zu Konfigurieren Sie den vom Kunden bereitgestellten Schlüssel, und laden Sie ihn hoch Um Ihren umschlossenen Schlüssel hochzuladen.