SameSite cookies (CSRF is dead)

[DJMaze]

Graag start ik hier de discussie over SameSite cookies omdat het met beveiliging te maken heeft.
Mocht iemand het meer geschikt vinden voor Devschuur -> Programming dan kan die daar

https://www.owasp.org/index.php/SameSite

Chrome ondersteunt het al een tijdje,
Firefox vanaf versie 60.
IE en Edge komen er aan.
Zie https://caniuse.com/#feat=same-site-cookie-attribute

SameSite is een extra attribuut die je aan cookies kan toevoegen om CSRF een halt toe te roepen.

Ben zelf aan het stoeien geweest om dit in verschillende programmeer talen aan de praat te krijgen.
Met name PHP < 7.3 was een uitdaging vanwege sessie cookies (dit was eigenlijk na een eureka best simpel).

ASP.NET https://docs.microsoft.co...esite?view=aspnetcore-2.0
Django: https://code.djangoproject.com/ticket/27863

Zijn er al meer mensen die dit integreren in hun web applicaties?

[ Voor 9% gewijzigd door DJMaze op 19-05-2018 19:08 ]

[Demonitzu]

Ik heb het bijna 2 jaar geleden in m'n websites verwerkt gezien het toch backward compatible is. Ik had wel gehoopt dat meer browsers het inmiddels zouden ondersteunen. Nooit echt een fan van CSRF tokens geweest.

[DJMaze]

@Toshin wat dacht je dan van deze implementatie https://code.djangoproject.com/ticket/16870

[Squ1zZy]

Tijdens het pentesten ben ik regelmatig de SameSite attribute tegen gekomen. Helaas nog vaker niet dan wel, maar komt dus wel voor

[Demonitzu]

Enigzins relevant, ik heb destijds ook mijn cookies de __Host- prefix gegeven.

MDN:

Cookies names with the prefixes __Secure- and __Host- can be used only if they are set with the secure directive from a secure (HTTPS) origin. In addition, cookies with the __Host- prefix must have a path of "/" (the entire host) and must not have a domain attribute. For clients that don't implement cookie prefixes, you cannot count on having these additional assurances and the cookies will always be accepted.

Backward compatible, ondersteund door Firefox en Chromium browsers. https://googlechrome.gith...ookie-prefixes/index.html

[DJMaze]

@Toshin die had ik ook ooit in overweging genomen.
Vond het te veel gedoe om te doen omdat het meerendeel van de bezoekers IE, Edge, Apple en Android gebruiken.
Daarnaast was het belang er van niet groot genoeg.

Thumbs up dat jij hier wel tijd in hebt gestoken.

[Demonitzu]

Gemiddeld ondersteund 66% van mijn bezoekers op dit moment de cookie prefixes. Dat percentage ligt nog een stuk hoger bij uitsluitend ingelogde bezoekers wie theoretisch meer belang zouden hebben aan deze extra cookie beveiliging