สวัสดี! คุณเคยได้ยินคำว่า “คุกกี้” หรือไม่? ไม่ใช่ประเภทที่คุณจุ่มลงในนม แต่เป็นข้อมูลเล็ก ๆ น้อย ๆ ที่เว็บไซต์ใช้เพื่อจดจำการตั้งค่าและข้อมูลการเข้าสู่ระบบของคุณ

แม้ว่าคุกกี้จะทำให้การท่องเว็บออนไลน์ง่ายขึ้น แต่ก็ไม่ปลอดภัยโดยสิ้นเชิง ฉันจะอธิบายว่าการโจมตีคุกกี้ SameSite คืออะไร และให้คำแนะนำเกี่ยวกับวิธีป้องกันตัวเองในรายงานนี้

ความปลอดภัยทางออนไลน์เป็นปัญหาสำคัญเนื่องจากการพึ่งพาอินเทอร์เน็ตสำหรับการทำงานประจำวันเพิ่มมากขึ้น น่าเศร้าที่อาชญากรไซเบอร์มักมองหาจุดอ่อนเพื่อใช้ประโยชน์เพื่อเข้าถึงข้อมูลที่ละเอียดอ่อนของเราโดยไม่ได้รับอนุญาต

ข้อบกพร่องล่าสุดที่เรียกว่าการโจมตีด้วยคุกกี้ SameSite อาจทำให้ผู้โจมตีหลีกเลี่ยงการป้องกันความปลอดภัยและเข้าควบคุมบัญชีผู้ใช้ได้ ผู้โจมตีสามารถทำให้เบราว์เซอร์ของเหยื่อเข้าใจผิดในการส่งคำขอไปยังเว็บไซต์เป้าหมายโดยใส่คุกกี้ SameSite=None เข้าไป ซึ่งอาจส่งผลให้ การโจรกรรมข้อมูลและผลกระทบด้านลบอื่นๆ

เว็บไซต์เดียวกัน:

สิ่งนี้จะทำให้เบราว์เซอร์ทราบว่าสามารถส่งคุกกี้จากโดเมนอื่นได้หรือไม่
มีค่าที่เป็นไปได้สามค่าสำหรับมัน:

• เข้มงวด : เว็บไซต์บุคคลที่สามจะไม่ส่งคุกกี้พร้อมกับคำขอของพวกเขา
• Lax : คุกกี้จะถูกส่งไปพร้อมกับคำขอ GET ที่สร้างโดยเว็บไซต์บุคคลที่สาม
• ไม่มี : คุกกี้ถูกส่งโดยโดเมนของบุคคลที่สาม

คำว่า "ไซต์" หมายถึงอะไร

แนวคิดที่เข้าใจยากกว่าการกำเนิดนั้นถูกปกปิดด้วยวลี "ตำแหน่งที่ตั้ง" ที่กว้างจนน่าตกใจ
สำหรับผู้เริ่มต้น คำว่า "ไซต์" ไม่ได้ถูกใช้ในแง่เทคนิคเสมอไป เกิดขึ้นก่อน SOP และมีการใช้งานอย่างแพร่หลายเมื่อภัยคุกคาม เช่น สคริปต์ข้ามไซต์ปรากฏขึ้นเป็นครั้งแรก

• เนื่องจาก org เป็นคำต่อท้ายสาธารณะที่เฉพาะเจาะจงที่สุดของโฮสต์ และ example.org เป็น eTLD+1 ของโฮสต์ ดังนั้น example.org จึงเป็นเว็บไซต์ของhttps://www.example.org.
• เนื่องจาก github.io เป็นส่วนต่อท้ายสาธารณะที่เฉพาะเจาะจงที่สุดของโฮสต์ และ deepmarketer666.github.io เป็น eTLD+1 ของโฮสต์ เว็บไซต์ของhttps://deepmarketer666.github.ioคือ deepmarketer666.github.io

หลังจากจัดการกับแนวคิดของไซต์แล้ว ตอนนี้เราสามารถพูดคุยเกี่ยวกับแนวคิดของคำขอไซต์เดียวกันและข้ามไซต์ได้
คำขอมีสองประเภท: ข้ามไซต์และไซต์เดียวกัน สถานะข้ามไซต์หรือไซต์เดียวกันของคำขอถูกกำหนดโดยการเปรียบเทียบไซต์ของต้นทางปลายทางและต้นทาง:

• คำขอจะเรียกว่าไซต์เดียวกันหากทั้งสองไซต์เหมือนกัน
• คำขอจะเรียกว่าข้ามไซต์หากทั้งสองไซต์แตกต่างกัน

1. เนื่องจากไซต์ต้นทางทั้งสองแห่งคือexample.orgซึ่งเป็นคำขอที่มาจากhttps://foo.example.orgถึงhttps://bar.example.orgเป็นไซต์เดียวกัน

3. เนื่องจากไซต์ต้นทางทั้งสองแห่งเป็น example.org จึงมีคำขอจากhttps://foo.bar.example.orgถึงhttps://bar.example.orgเป็นไซต์เดียวกัน

คำขอข้ามต้นทางและไซต์เดียวกัน

เป็นที่ชัดเจนว่าคำขอข้ามไซต์ใดๆ จะต้องเป็นแบบข้ามต้นทางด้วย
ไม่ใช่ว่าข้อความค้นหาข้ามต้นทางทั้งหมดจะเป็นคำขอข้ามไซต์ ดังที่แสดงไว้ในตัวอย่างแรกและสามข้างต้น

นอกจากนี้ คุณสมบัติคุกกี้ SameSite มีผลกับคำขอข้ามไซต์เท่านั้น คำขอข้ามต้นทางที่เกิดขึ้นเป็นไซต์เดียวกันจะไม่ได้รับผลกระทบ
นี่คือเหตุผลว่าทำไมการเข้าใจความแตกต่างระหว่างแหล่งกำเนิดและสถานที่จึงเป็นสิ่งสำคัญ

เพื่อแสดงข้อโต้แย้งของฉัน

ฉันติดตั้งเซิร์ฟเวอร์ Go ที่ใช้งานง่ายพร้อมปลายทางสองจุดที่ samesitedemo.deepmarketer.com โดยได้รับแรงบันดาลใจจากผลงานของ Troy Hunt SameSite=Strict คุกกี้ถูกตั้งค่าโดย endpoint /setcookie ดังนี้:

Set-Cookie: StrictCookie=foo; Path=/; Max-Age=3600; SameSite=Strict