CORS는 CSRF 방지 방법인가요?

Question

요즘 보안에 흥미가 생겨 CORS와 CSRF 관련 공부를 진행하던 중 이해가 안 되는 부분이 있어 질문드립니다.일단 정상적인 사이트 A.com과 악의적인 사이트 B.com이 존재한다고 가정합니다.이때 CORS 설정을 통해 A.com은 외부에서 들어오는 요청을 모두 거부합니다.이 경우에는 B.com에서 아무리 CSRF 공격을 시도해도 A.com의 CORS로 인해 공격이 실패한다고 이해했습니다.즉, CORS는 CSRF 방지를 위한 방법으로 이해했습니다.하지만 챗지피티 검색 결과 CORS는 CSRF 방지에 도움을 주기는 하더라도 CSRF 방지 방법이라고 할 수는 없다고 나옵니다.저의 생각으로는 CORS 설정만 해도 외부에서 요청은 모두 거부해버리니 CSRF 공격 자체를 완전 방어할 수 있다고 생각했는데 아닐까요?

나무하늘보 · Accepted Answer

csrf가 외부에서 다른 출처로 공격을 하는게 아니라,'사용자가 자신의 의지와는 무관하게 공격자가 의도한 행위를 하게 하는 공격'이라서 이해하신 개념이 좀 달라보이네요.https://www.quora.com/What-are-the-differences-between-CSRF-and-CORS참고하면 좋을 듯 합니다.

개발잡부 · Answer

csrf = 외부요청이 아니에요. csrf에 대해서 다시 공부해보세요

Dierslair · Answer

CORS는 다음 개념입니다.B.com 사이트 관리자가 A.com 사이트의 파일 업로드/다운로드 API를 알고 있습니다.B.com 사이트 관리자는 B.com 사이트의 파일 업로드/다운로드 기능을 A.com 사이트의 API를 사용하여 처리하였습니다.B.com 사이트 관리자는 B.com 사이트의 서버 자원(HDD, Network I/O)을 사용하지 않고 파일 관리 기능을 구현하였습니다. 똑똑하죠?이는 B.com 사이트 관리자가 A.com 사이트의 서버 자원을 훔치는 것과 다르지 않습니다.그래서 CORS 개념이 있습니다. B.com 사이트에서 A.com 사이트 파일을 표시하기 위해 API를 호출하여도 명시적으로 A.com 파일 응답에 B.com 사이트에서 사용해도 된다는 정보가 없으면 브라우저는 이를 무효 처리하여 사용할 수 없게 합니다.

토토땅 · Answer

방지할 수 있지 않나요?B.com에서 A.com으로 악의적인 요청을 보내도록 한다. (사용자 몰래)B.com에서 A.com으로 가는 요청에서는 자동으로 쿠키가 포함된다. (브라우저 스펙)결과(CORS가 없다면) A.com이 쿠키로 인증을 처리하고 있었다면 정상인증처리가 된다.(CORS가 있다면) 쿠키가 포함되어있더라도 A.com에서는 외부에서의 요청이기 때문에 거절된다.결국 중요한 건 A.com으로 전송되는 요청에는 브라우저 스펙 상 쿠키가 자동으로 포함된다는 거고 CORS는 브라우저 기준으로 외부로의 요청을 제한하는 것이기 때문에 브라우저가 정상이라면(악성 브라우저가 아니라면) B.com에 접속하더라도 쿠키가 자동으로 포함됨으로 인한 문제가 방지되는 거 아닌가요?

CORS는 CSRF 방지 방법인가요?

4개의 답변

#csrf 목록