跨站点伪造请求

跨站点伪造请求

跨站点伪造请求是指攻击者引诱用户点击恶意链接,然后将用户转到已完成身份验证的站点。由于用户已在该站点完成身份验证,恶意链接中嵌入的任何命令都可能会自动运行,所以用户不会看到登录界面或者任何其他恶意活动迹象。在使用亚马逊帐户登录的情况下,跨站点伪造请求可用来模拟客户端或身份验证服务器。

Login with Amazon建议使用state参数来阻止跨站点伪造请求。客户端应在发起授权请求时设置好state参数值,并将其保存到用户的安全会话中。与client_idclient_secret值不同,state参数应为每个授权请求赋予唯一且不可猜测的值,以便在防范攻击时发挥作用。授权服务器与客户端通信时将返回相同的state,以提供授权码和。访问令牌。为防止用户免于攻击,如果返回的state参数值与初始调用不匹配,客户端必须忽略通信。

计算状态参数

客户端可以选取任何方式来计算state参数值,不过应保护参数值免于伪造。Login with Amazon建议使用安全生成的随机字符串,所含熵值不应少于256位。要使用此方法计算state值,请在加密操作中使用合适的随机数生成器。

以下为Python示例:

def generate_state_parameter():
random = os.urandom(256)
state = base64.b64encode(random)
return (state)

state参数值生成后,将其保存到用户会话信息,以确保信息安全通信并已保存到安全会话。授权响应返回state后,将其与保存到用户会话的state值进行比较,以验证用户合法性。如果两个值不匹配,应忽略授权响应。

如果您还使用state参数值来动态重定向已完成身份验证的用户,请考虑将安全生成的随机字符串与动态URL连接起来,并以空格分隔(例如state = state + " " + dynamicURL)。授权服务器返回状态后,将对其进行解析,并根据空格将其拆分为两个值。第二个值包含的动态URL将把完成身份验证后的用户转到相应页面。