Le Cross Site Request Forgery (CSRF) est une forme d’attaque de sécurité qui exploite la confiance d’un site envers un utilisateur. Dans une attaque CSRF, l’attaquant incite un utilisateur à exécuter une action non intentionnelle sur un site web où l’utilisateur est authentifié.
Par exemple, supposons qu’une victime est connectée à un site qui vous permet de changer l’adresse email associée à votre compte. Si ce site ne protège pas contre les attaques CSRF, un attaquant pourrait envoyer à la victime un lien vers une page web malveillante. Cette page web pourrait exécuter une requête HTTP sur le site en question, demandant à changer l’adresse email du compte. Comme la victime est déjà connectée au site, le navigateur enverrait automatiquement les cookies de session de la victime avec la requête, authentifiant ainsi la victime sur le site. Le site penserait alors que la victime souhaite réellement changer son adresse email et effectuerait l’action.
Django, un framework pour le développement web en Python, a une protection intégrée contre les attaques CSRF. Cette protection est mise en œuvre en générant et en insérant un jeton CSRF dans chaque formulaire HTML produit par votre application. Lorsque l’utilisateur soumet le formulaire, Django vérifie que le jeton CSRF envoyé avec la requête correspond à celui qui a été envoyé au client lors de la génération du formulaire.
Cette protection est gérée par le middleware CSRF de Django. Ce middleware est automatiquement activé lors de la création d’une nouvelle application Django, donc vous bénéficiez de la protection anti-CSRF sans avoir à faire de travail supplémentaire. Cependant, vous devez inclure le jeton CSRF dans vos formulaires en utilisant le tag de modèle `{% csrf_token %}`.
Il est important de comprendre que cette protection n’est pas parfaite et qu’elle ne peut pas empêcher toutes les attaques CSRF. Par exemple, si un attaquant est capable de voler les cookies de session d’un utilisateur, il pourra toujours effectuer des requêtes authentifiées en tant que cet utilisateur, même si le site utilise la protection anti-CSRF de Django. Pour cette raison, il est également important de mettre en œuvre d’autres mesures de sécurité, comme l’utilisation de l’attribut HttpOnly pour les cookies de session, pour empêcher le vol de cookies.
Sources:
- Django project official website – https://docs.djangoproject.com/fr/3.1/ref/csrf/
- Mozilla Developer Network – https://developer.mozilla.org/fr/docs/Web/Security/CSRF
- OWASP – https://owasp.org/www-community/attacks/csrf
