Cross-Site Request Forgery (CSRF) auf Deutsch kann als "Cross-Site Request Forgery (CSRF)" übersetzt werden. Im Deutschen spricht man oft von "Cross-Site Request Forgery (CSRF)" oder auch "Website-übergreifende Anfragenfälschung".
Cross-Site Request Forgery (CSRF)
Cross-Site Request Forgery (CSRF), auch bekannt als Session Riding, ist ein Cybersecurity-Angriff, bei dem eine bösartige Website oder E-Mail einen Benutzer dazu veranlasst, eine unerwünschte Aktion auf einer anderen Website auszuführen, auf der der Benutzer authentifiziert ist. Der Angriff nutzt die aktive Sitzung des Benutzers mit einer anderen Website aus, um unautorisierte Befehle auszuführen, wie z.B. das Überweisen von Geldern oder das Ändern von Einstellungen.
Wichtige Konzepte und Definitionen
CSRF ist eine Art von Sicherheitslücke, die es Angreifern ermöglicht, das Vertrauen zwischen dem Browser eines Benutzers und einer Website, bei der der Benutzer angemeldet ist, auszunutzen. Der Angreifer täuscht den Browser des Benutzers dazu, im Namen des Benutzers und ohne dessen Wissen oder Zustimmung eine Anfrage an eine andere Website zu senden.
Um einen CSRF-Angriff auszuführen, sendet der Angreifer normalerweise einen manipulierten Link oder eine E-Mail an den Benutzer. Wenn der Benutzer auf den Link klickt oder mit der E-Mail interagiert, sendet sein Browser eine Anfrage an die Zielwebsite und nutzt dabei die aktive Sitzung des Benutzers aus, was dazu führt, dass die Zielwebsite eine Aktion im Namen des Benutzers ausführt.
Die bösartige Website oder E-Mail kann versteckte Formulare, Bilder oder JavaScript-Code enthalten, die automatisch Aktionen auf der Zielwebsite auslösen. Da die Anfrage vom Browser des Benutzers stammt, sieht die Zielwebsite sie als legitime Anfrage an und führt die angeforderte Aktion aus, ohne dass der Benutzer davon weiß.
Wie CSRF funktioniert
Der Angriff wird vorbereitet: Der Angreifer erstellt einen bösartigen Link oder eine E-Mail, die für den Benutzer harmlos oder verlockend erscheint. Dies kann Links zu gefälschten Login-Seiten oder Websites beinhalten, die beliebte Dienste nachahmen.
Benutzerinteraktion: Der Benutzer klickt auf den manipulierten Link oder interagiert mit der bösartigen E-Mail. Dies veranlasst den Browser des Benutzers, eine Anfrage an die Zielwebsite zu senden.
Ausnutzung der aktiven Sitzung: Die vom Browser des Benutzers gesendete Anfrage enthält die Sitzungscookies oder Authentifizierungsdaten des Benutzers. Die Zielwebsite, die die Anfrage aufgrund der aktiven Sitzung des Benutzers als legitim ansieht, verarbeitet die Anfrage und führt die vom Angreifer gewünschte Aktion aus.
Unerwünschte Aktion: Die Zielwebsite führt eine Aktion im Namen des Benutzers aus, die das Ändern von Kontoeinstellungen, das Durchführen von betrügerischen Transaktionen oder sogar das Löschen von Benutzerdaten umfassen kann.
Tipps zur Prävention
Obwohl CSRF-Angriffe schädlich sein können, gibt es mehrere präventive Maßnahmen, die Benutzer und Website-Betreiber ergreifen können, um das Risiko zu mindern:
Web Application Firewall: Der Einsatz einer Web Application Firewall (WAF) kann helfen, potenzielle CSRF-Angriffe zu erkennen und herauszufiltern. WAFs analysieren eingehende Anfragen und können verdächtige oder unautorisierte Anfragen blockieren.
Anti-CSRF-Tokens: Website-Betreiber können Anti-CSRF-Tokens implementieren, um sich gegen CSRF-Angriffe zu schützen. Diese Tokens sind einzigartige, überprüfbare Tokens, die in jede Benutzeranfrage eingebettet werden. Beim Absenden eines Formulars oder beim Ausführen einer Anfrage wird der Token vom Server überprüft, um sicherzustellen, dass er dem erwarteten Wert entspricht. Wenn der Token fehlt oder inkorrekt ist, lehnt der Server die Anfrage ab.
Abmeldung von wichtigen Konten: Es wird empfohlen, sich abzumelden oder separate Browser-Sitzungen zu verwenden, wenn man auf wichtige Konten zugreift oder sensible Aktivitäten durchführt. Dies reduziert das Risiko von CSRF-Angriffen, da die aktive Sitzung des Benutzers nicht von bösartigen Websites ausgenutzt werden kann.
Benutzeraufklärung: Fördern Sie das Bewusstsein und die Aufklärung der Benutzer über Best Practices im Bereich Cybersecurity. Benutzer sollten vorsichtig sein, wenn sie auf Links in E-Mails klicken, insbesondere wenn sie unbekannt oder verdächtig erscheinen. Es ist wichtig, die Echtheit von Websites zu überprüfen, bevor man Anmeldedaten eingibt oder sensible Aktionen ausführt.
Beispiele für CSRF-Angriffe
Überweisung: Ein Angreifer sendet einen bösartigen Link an einen Benutzer und behauptet, dieser führe zu einer Promotion oder einem Sonderangebot. Wenn der Benutzer auf den Link klickt, sendet sein Browser eine Anfrage an die Online-Banking-Website des Benutzers und überweist dabei Gelder auf das Konto des Angreifers.
Änderung der Einstellungen: Ein Angreifer täuscht einen Benutzer dazu, seine bösartige Website zu besuchen. Die Website enthält versteckte Formulare, die bei Absenden die Kontoeinstellungen des Benutzers auf einer anderen Website ändern, z.B. die E-Mail-Adresse oder das Passwort.
Soziale Medien Post: Ein Angreifer erstellt eine Website, die automatisch Inhalte auf dem Social-Media-Konto eines Benutzers postet, ohne dass dieser davon weiß. Wenn der Benutzer die bösartige Website besucht, löst sein Browser die Post-Aktion auf seinem authentifizierten Social-Media-Konto aus.
Verwandte Begriffe
Session Hijacking: Session Hijacking ist eine andere Art von Angriff, bei dem ein Angreifer unautorisiert Zugriff auf die aktive Sitzung eines Benutzers erhält. Durch das Stehlen der Sitzungscookies oder der Sitzungs-ID kann sich der Angreifer als der Benutzer ausgeben und Aktionen in dessen Namen ausführen.
Cross-Site Scripting (XSS): Cross-Site Scripting (XSS) ist ein ähnlicher Angriff wie CSRF, bei dem bösartige Skripte in Webseiten eingeschleust werden, die von anderen Benutzern angezeigt werden. XSS ermöglicht es Angreifern, Aktionen im Namen des Opfers im Kontext der anfälligen Website durchzuführen.