Request Forgery -haavoittuvuuden paikkaus pitkälle kehitetyssä järjestelmässä

Abstract

Insinöörityön tarkoitus oli poistaa tilaajayrityksen pitkään kehitetystä järjestelmästä CSRF-haavoittuvuus. Jatkuvasti käytössä oleva ja pitkään kehitetty järjestelmä asettaa omat haasteensa paikkauksen toteutukselle. Tämän työn avulla lukija saa käsityksen siitä, minkälaisia asioita tulee ottaa huomioon, kun CSRF-suojaus toteutetaan järjestelmään jälkeenpäin.

Työssä käydään lyhyesti läpi CSRF-hyökkäyksen kannalta olennainen HTTP-protokolla ja kerrotaan, kuinka istunnot yleensä muodostetaan protokollan päälle, joka itsessään on tilaton. Tämän jälkeen esitellään CSRF-hyökkäyksen toimintaperiaate ja käydään läpi yleisimmät suojautumistavat.

Suojauksen toteutus on kuvattu tässä työssä vaihe vaiheelta. Tämän avulla lukija saa käsityksen niistä haasteista, joita esiintyy, kun pitkälle kehitettyyn järjestelmään toteutetaan suojaus jälkeenpäin. Työn perusteella voidaan todeta, että järjestelmässä esiintyvän CSRF-haavoittuvuuden paikkaus on jälkikäteen tehtynä paljon työläämpää, kuin järjestelmän suunnittelu alunperin tietoturvalliseksi.

The aim of this study was to patch CSRF-vulnerabilities in a customer organization's web-application that was at a late stage of development. Patching of a web-application that is constantly in use and has a long development history is a challenging task. With the present study, the reader can get an idea of the different things that need to be taken into account when developing CSRF-defense afterwards.

In the study, the HTTP-protocol that is relevant to a CSRF-attack is explained briefly. Establishing sessions over otherwise stateless HTTP-protocol are also explained. After this, the principle of a CSRF-attack is explained and different methods of defending against it are evaluated.

Development of the defense in this case is explained step by step. After reading the paper the reader should have an idea of what kind of challenges can be expected when developing CSRF-defense to a system that is at a late stage of development. Based on the study, it can be concluded that developing CSRF-defense after the initial deployment of a system is much more time consuming than developing an initially secure system.