CSRF 토큰만 사용해도 보안 방어가 꽤 되나요?

Question

프레임워크에서 POST 전송 시 CSRF 토큰을 포함하도록 하는 코드를 많이 쓰는데요.실제 CSRF 토큰의 보안 방어 수준은 어느 정도인가요?제 생각에 왠만한 무작위 공격은 전부 막을 수 있을 거 같긴 한데요. 실제 성능은 어느 정도인가요?저런 CSRF를 뚫고 들어오는 공격도 있을까요?

컴포지트 · Accepted Answer

보안 방어 수준은 좋습니다. CSRF 키는 서버에서 생성하고 서버에서 검증합니다. 실제 성능은 유의미한 차이는 없습니다. 로직이 추가되니 아주 미세하게 성능이 하락되긴 하겠죠. 물론 CSRF 뚫는 공격이 있습니다. 물론 키는 해커가 생성할 수 없기 때문에 생성하는 URL 호출해 취득해서 요청을 날리는 자동화 케이스죠. 이런 자동화를 막을 수 있는 극단적인 CSRF 수단이 바로 캡챠입니다. 그 짜증나는 reCAPTHA 등이죠.

CSRF 토큰만 사용해도 보안 방어가 꽤 되나요?

1개의 답변

#csrf 목록