¿Qué es un token CSRF? Significado y ejemplos

Una descripción general de CSRF

En el ámbito digital, uno de nuestros principales desafíos es la salvaguarda frente a infracciones como los ataques de falsificación de solicitudes entre sitios, denominados con el acrónimo CSRF (Cross-Site Request Forgery). Esta táctica de agresión se produce cuando un invasor logra manipular a la víctima para que genere acciones indeseables dentro de una plataforma web donde se autentificó.

¿Qué significa CSRF?

Los ataques CSRF representan una estrategia perjudicial que se imbuiye de la fe que posee un portal web en el explorador del usuario. Resumidamente, una acometida CSRF engatusa a los usuarios verificados para que llevan a cabo acciones no solicitadas en su representación.

Por ilustrar, si un usuario se verifica en su plataforma bancaria online y accede a un portal dañino en otra ventana del explorador, este portal nocivo podría presionarlo a ejecutar acciones en la plataforma bancaria sin su consentimiento, como efectuar una transferencia a una cuenta a cargo del invasor.

¿Cómo se desarrolla una acometida CSRF?

Un arremetida CSRF suele materializarse en tres fases:

El invasor configura una dirección URL o un formulario que dispara una acción concreta en el portal apuntado cuando se logra el acceso o se envía.
El invasor burla a la víctima para que pulse en una dirección o remita un formulario, usualmente mediante la falsificación de identidad.
La víctima pincha en la dirección URL o manda el formulario, realizando la acción indeseada en el portal meta.

Consecuencias de las acometidas CSRF

Las acometidas CSRF pueden repercutir de manera contundente en la protección de las plataformas web y la confidencialidad de los usuarios. Podrían permitir a los invasores ejecutar acciones en nombre de los usuarios, como modificar su código de acceso, gestionar transacciones económicas, o desfigurar su información confidencial.

Además, las acometidas CSRF pueden ser rebuscadas para localizar y contener, ya que se respaldan en la fe intrínseca entre un portal web y el explorador de un usuario. Por lo tanto, resulta imperativo que los programadores de aplicaciones web entiendan la naturaleza de estas acometidas y cómo pueden resguardar sus aplicaciones de ellas.

Más adelante, abordaremos una de las estrategias clave de defensa ante acometidas CSRF: el identificador CSRF.

Una descripción general del token CSRF

La Manipulación de peticiones web en dominios opuestos, más conocida como CSRF, representa un método de incursión no autorizada que permite al infractor manipular al usuario autenticado para llevar a cabo trabajos no deseados en entornos de internet. De manera sencilla, el ataque CSRF aprovecha la identificación autenticada del usuario, dejando al descubierto su habilidad para vigilar acciones críticas en un espacio digital sin su permiso explícito.

Entendiendo el Token CSRF

Frente a esta amenaza, una medida efectiva radica en la implementación del Token CSRF. Este involucra un mecanismo de resguardo dinámico que otorga un valor exclusivo y azaroso para cada actividad en línea del usuario. Su función crucial surge cuando sucede alguna modificación de estado, como el cambiazo de códigos de seguridad o efectuación de movimientos financieros, con el objetivo de corroborar la validez de tal solicitud e interrumpir cualquier intento de intrusión no autorizada a través de CSRF.

Mecánica de operación de un Token CSRF

Al ingresar a un espacio digital, se genera automáticamente un Token CSRF inequívoco ligado a la actividad del usuario. Este token se anexa a las acciones solicitadas por el usuario hacia el entorno digital.

Cuando se procesa una acción en nombre del usuario, el servidor contrasta el Token CSRF incluido en la solicitud con el asignado a la actividad del usuario. Si ambos tokens coinciden, la solicitud es validada; si no, la acción es desestimada por ser posiblemente una ofensiva CSRF.

El papel crucial del Token CSRF

La instauración de un Token CSRF es fundamental para prevenir los ataques CSRF en tanto usuarios como espacios digitales. Sin un Token CSRF, un delincuente estaría en posibilidad de influir sobre el usuario para realizar operaciones perjudiciales en un ambiente web, pudiéndose traducir en la exposición de información confidencial, suplantación de identidad o inclusive el desvío de recursos monetarios.

Ejemplificación de un Token CSRF

Veamos cómo se puede representar un Token CSRF en un requerimiento HTTP:


POST /modificar_codigo HTTP/1.1
Host: www.ejemplo.com
Content-Type: application/x-www-form-urlencoded
Content-Length: 115

csrf_token=r4Ht45J7n9t5VJ7Lm2x4H45k9Gj7M1yU678JkI9&codigo_antiguo=123456&codigo_nuevo=abcdef

En este caso, el Token CSRF es "r4Ht45J7n9t5VJ7Lm2x4H45k9Gj7M1yU678JkI9", que se fusiona con la solicitud junto con los datos del antiguo y el nuevo código de seguridad.

Para concluír, el Token CSRF es un instrumento de protección indispensable en la defensa contra los ataques CSRF para los usuarios y entornos digitales. Al asignar un Token CSRF particular para cada sesión activa del usuario y validar este token en cada solicitud, los sitios digitales pueden asegurarse de que todas las solicitudes son legítimas y no son actos fraudulentos CSRF.

¿Cómo funciona y cómo lo uso?

El conocido Token CSRF, igualmente referido como Token de protección, representa una estrategia de resguardo establecida para garantizar la seguridad de los usuarios frente a las ofensivas cibernéticas conocidas como falsificación de petición de sitio cruzado o Cross-Site Request Forgery (CSRF). ¿Pero cómo actúa this Token CSRF y cuál es su forma de aplicación?

La Mecánica de Funcionamiento del Token CSRF

La analogía más precisa para describir la labor del Token CSRF es la de un código secreto que se produce automáticamente y se transfiere al cliente durante un tiempo de interacción activo. El propósito de este Token CSRF es el de afirmar que las solicitudes enviadas al servidor durante dicha interacción efectivamente surgen del cliente autentificado, evitando la intervención de un atacante cibernético.

Al iniciar una interacción de usuario en una página web, el servidor aporta un Token CSRF único y lo transmite al explorador del usuario. Este Token se resguarda en el explorador y se agrega en todas las solicitudes futuras al servidor. Al recibir una solicitud, el servidor investiga si el Token CSRF incorporado en la petición es idéntico al generado en el inicio de la interacción. De ser idénticos, el servidor acepta y procesa la petición. Si no son coincidentes, la petición es declinada.

La Instauración del Token CSRF

La aplicación del Token CSRF depende en gran medida del marco de desarrollo o del dialecto de programación utilizado. No obstante, el concepto base se mantiene constante.

Construcción del Token: Al principio de una interacción, el servidor produce un Token CSRF y lo transfiere al explorador del usuario. Usualmente, el Token se transmite en forma de cookie, pero también puede contenerse en el código HTML del sitio.
Almacenamiento del Token: El Token se resguarda en el explorador del usuario, ya sea como cookie, en el depósito local del explorador, o en el mismo código HTML del sitio.
Integración del Token en las peticiones: Al enviar una petición al servidor por medio del explorador, el Token CSRF se incorpora en la petición. Esto puede ser realizado automáticamente por el explorador si se almacena el Token como cookie, o el programador puede necesitar agregar el Token manualmente en las peticiones.
Autentificación del Token: Al recibir una petición, el servidor verifica si el Token CSRF que viene en la petición es el mismo que se generó al inicio de la interacción. De coincidir, la petición es procesada. De lo contrario, la petición es declinada.

Vamos a examinar un ejemplo de cómo se podría instituir un Token CSRF en un formato HTML utilizando PHP:


<?php
// Creación de un CSRF Token
$csrf_token = bin2hex(random_bytes(32));

// Resguardo del CSRF Token en una sesión
$_SESSION['csrf_token'] = $csrf_token;
?>

<form action="ejecutar_formato.php" method="post">
    <input type="hidden" name="csrf_token" value="<?php echo $csrf_token; ?>">
    <!-- Resto de segmentos del formato -->
</form>

En esta situación, el servidor crea un Token CSRF y lo resguarda en una sesión. Posteriormente, el Token se integra como un campo oculto en un formato HTML. Al enviar el formato, el explorador incorpora el Token CSRF en la petición. Antes de ejecutar la petición, el servidor verifica el Token.

Es importante recordar que cada Token CSRF debe ser único para cada interacción y debe ser imposible de prever, lo que significa que debe ser producido utilizando un algoritmo de producción de números aleatorios seguro y que no debe depender de información que un hacker pueda descifrar o calcular.

Implementación del token CSRF

La creación y uso de un token CSRF en ciberseguridad es vital. Este método consta en crear y corroborar una identificación exclusiva para cada interacción de usuario. Este identificador se encarga de confirmar la validez de las comunicaciones al servidor web. Ahora veamos cómo instaurar un token CSRF.

Creación del Token CSRF

El inicial paso hacia el establecimiento de un token CSRF es su creación. Este se debe generar de manera única e imprevisible para cada interacción del usuario. A continuación, mostramos cómo se puede crear un token CSRF mediante el lenguaje de programación PHP:


session_start();
if (empty($_SESSION['csrf_token'])) {
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}

En este fragmento de código, empleamos la función random_bytes de PHP para generar una secuencia aleatoria de bytes que representará nuestro token CSRF. Para transformar estos bytes en una cadena hexagonal, utilizamos la función bin2hex.

Autenticación del Token CSRF

Una vez creado el token CSRF, es necesario verificar su autenticidad en todas las comunicaciones que se realicen al servidor. Para ello, se puede contrastar el token CSRF presente en la comunicación con el token CSRF que se guarda en la interacción del usuario. Veamos cómo validar un token CSRF en PHP:


session_start();
if ($_POST['csrf_token'] !== $_SESSION['csrf_token']) {
    die('Invalid CSRF token');
}

En este fragmento, confrontamos el token CSRF de la comunicación POST con el token CSRF salvaguardado en la sesión de nuestro usuario. Si no son idénticos, la comunicación se deniega.

Inclusión del Token CSRF en Formulario

Para instaurar el token CSRF en un formulario, este se debe añadir como una entrada escondida. Aquí tienes un ejemplo de cómo se puede integrar en HTML:


<form method="post" action="process.php">
    <input type="hidden" name="csrf_token" value="<?php echo $_SESSION['csrf_token']; ?>">
    <!-- El resto del formulario -->
</form>

En este fragmento, el token CSRF se añade como una entrada camuflada en el formulario. Tras enviar el formulario, el token CSRF se envía junto a la información restante.

Establecimiento del Token CSRF en los principales frameworks web

Muchos frameworks web conocidos, como Django, Flask y Express.js, facilitan mecanismos para el establecimiento de tokens CSRF. Por ejemplo, en Django puedes emplear el middleware CsrfViewMiddleware junto a la etiqueta de plantilla csrf_token para instaurar la protección CSRF.

Para terminar, podemos decir que establecer un token CSRF es un elemento crucial para defendernos de los ataques CSRF. Aunque la manera exacta de realizarlo puede variar dependiendo del lenguaje de programación y el framework web que usemos, los principios básicos de creación y verificación de estos tokens siguen siendo idénticos.

Solucionar la vulnerabilidad CSRF en marcos web populares

La vulnerabilidad CSRF es un problema de seguridad que puede afectar a cualquier marco de trabajo web si no se toman las medidas adecuadas. Afortunadamente, muchos de los marcos de trabajo web más populares ya tienen incorporadas medidas de protección contra CSRF. Aquí, vamos a explorar cómo se puede solucionar la vulnerabilidad CSRF en algunos de los marcos de trabajo web más populares.

Django

Django es un marco de trabajo web de Python que tiene una protección CSRF incorporada. Para activarla, simplemente debes asegurarte de que el middleware CSRF de Django esté habilitado en tu configuración. Luego, puedes usar el tag {% csrf_token %} en tus formularios HTML para insertar automáticamente un token CSRF.


MIDDLEWARE = [
    ...
    'django.middleware.csrf.CsrfViewMiddleware',
    ...
]


<form method="post">
    {% csrf_token %}
    ...
</form>

Ruby on Rails

Ruby on Rails también tiene una protección CSRF incorporada. Al igual que Django, debes asegurarte de que la protección CSRF esté habilitada en tu configuración. Luego, puedes usar el helper form_authenticity_token en tus formularios HTML para insertar automáticamente un token CSRF.


protect_from_forgery with: :exception


<%= form_for @resource do |f| %>
    <%= hidden_field_tag :authenticity_token, form_authenticity_token %>
    ...
<% end %>

Laravel

Laravel, un marco de trabajo PHP, también ofrece protección CSRF. Para habilitarla, debes incluir el middleware CSRF en tu grupo de middleware web. Luego, puedes usar la directiva @csrf en tus formularios Blade para insertar automáticamente un token CSRF.


protected $middlewareGroups = [
    'web' => [
        ...
        \App\Http\Middleware\VerifyCsrfToken::class,
        ...
    ],
];


<form method="post">
    @csrf
    ...
</form>

Express.js

Express.js, un marco de trabajo de Node.js, no tiene una protección CSRF incorporada. Sin embargo, puedes usar el paquete csurf para agregar protección CSRF a tu aplicación. Primero, debes instalar el paquete csurf y luego usarlo como middleware en tu aplicación. Luego, puedes generar un token CSRF y pasarlo a tus vistas para usarlo en tus formularios.


var csurf = require('csurf');
var express = require('express');

var app = express();
app.use(csurf());

app.get('/form', function(req, res) {
    res.render('form', { csrfToken: req.csrfToken() });
});


<form method="post">
    <input type="hidden" name="_csrf" value="{{csrfToken}}">
    ...
</form>

En resumen, la mayoría de los marcos de trabajo web populares tienen alguna forma de protección CSRF incorporada. Sin embargo, es importante recordar que la protección CSRF solo es efectiva si se utiliza correctamente. Por lo tanto, siempre debes asegurarte de que estás utilizando la protección CSRF de la manera correcta en tu marco de trabajo web.

Reparar token CSRF no válido

Para rectificar un identificador CSRF no válido, es primordial adentrarse primero en la esencia de lo que es un identificador CSRF y su mecanismo de operación. Un identificador CSRF, también descrito como clave de falsificación de demandas en plataformas en línea diferentes, es un recurso de protección empleado para obstruir intrusiones CSRF. La aparición de un error CSRFinválido se da cuando el identificador CSRF presentado en el requerimiento no es idéntico al esperado.

Orígenes de un identificador CSRF no válido

Son diversas las circunstancias que pueden resultar en un error de identificador CSRF no válido. Las fuentes más habituales son:

Caducidad del identificador CSRF: Estas claves CSRF generalmente poseen una duración de vida finita. Si el identificador ha caducado, será necesario generar uno nuevo.
Envío incorrecto de identificador CSRF: Esto puede darse si el identificador no ha sido incluido en la petición o si su ubicación en la petición es incorrecta.
Incompatibilidad de identificador CSRF: Se puede dar si el identificador emitido no es compatible con el esperado. Esto puede ser resultado de una falla en el código o de una incursión CSRF.

Manera de rectificar un identificador CSRF no válido

Para rectificar un identificador CSRF no válido, uno debería seguir los siguientes puntos:

Confirmar que el identificador CSRF se está transmitiendo de la manera adecuada: Verifica que el identificador esté siendo incluido en la petición y que su posición en la misma es la correcta.
Generar un nuevo identificador CSRF: Si la clave ha caducado, se deberá producir uno nuevo. Garantiza que el nuevo identificador sea utilizado en todas las futuras peticiones.
Confirmar la concordancia del identificador CSRF: Si la clave entregada no es compatible con la esperada, tendrás que revisar tu código para ubicar los errores.

Aplicación de la solución

Aquí se muestra un ejemplo de cómo se podrían aplicar estos puntos en código:


from django.middleware.csrf import CsrfViewMiddleware

def process_view(request, callback, callback_args, callback_kwargs):
    csrf_middleware = CsrfViewMiddleware()
    csrf_token = csrf_middleware.process_view(request, None, (), {})

    if csrf_token is None or csrf_token != request.COOKIES['csrftoken']:
        return HttpResponse('Invalid CSRF Token', status=403)

    return callback(request, *callback_args, **callback_kwargs)

En este ejemplo, estamos empleando el middleware CSRF de Django para producir un nuevo identificador CSRF y verificar que es compatible con la clave entregada en la petición. Si las claves no son compatibles, devolvemos un error 403.

Protección adicional

Además de rectificar un identificador CSRF no válido, puedes implementar medidas preventivas adicionales para garantizar la seguridad de tu sitio web de intrusiones CSRF. Algunas de estas medidas pueden ser:

Aplicar una regla de protección del contenido (CSP): Esto puede bloquear intrusiones CSRF al limitar de qué fuentes se pueden cargar los recursos.
Emplear cookies seguras: Esto puede evitar que las claves CSRF sean sustraídas por invasores.
Autenticar las entradas de los usuarios: Esto puede bloquear intrusiones CSRF garantizando que las entradas de los usuarios son las esperadas.

Para concluir, rectificar un identificador CSRF no válido puede necesitar un poco de esfuerzo, sin embargo, es substancial para mantener la integridad de tu sitio web. Al implementar los pasos anteriores y tomar precauciones adicionales para proteger tu plataforma, puedes evitar intrusiones CSRF y garantizar la seguridad de la información de tus usuarios.

Protección CSRF de Wallarm

Mantener su plataforma web a salvo de ataques CSRF representa un imperativo para resguardar tanto su infraestructura digital como a sus usuarios. Wallarm surge como una estrategia de defensa sólida frente a estas amenazas cibernéticas.

¿Cómo actúa Wallarm en la prevención de ataques CSRF?

La metodología de Wallarm frente a los ataques CSRF comprende múltiples tácticas. En primer lugar, Wallarm establece una Política de Seguridad de Contenido (CSP) rigurosa, la cual acota las fuentes de contenido permitidas. Esto interfiere con la capacidad de los ciberdelincuentes para implantar códigos dañinos con el objetivo de sustraer tokens CSRF.

Además, emplea el recurso "SameSite Cookie Attribute", que imposibilita el envío de cookies con las peticiones de sitios cruzados. De este modo, aunque un intruso pudiera obtener un token CSRF, no tendría la facultad de realizar operaciones a nombre del usuario.

¿Cómo implementar la protección CSRF de Wallarm?

El proceso de implementación de protecciones CSRF de Wallarm es simple. Primero, hay que instalar el software de Wallarm en su servidor. Este será el encargado de ejecutar las directivas de seguridad de Wallarm y parar cualquier tentativa de ataque CSRF.

Una vez que el software de Wallarm está en funcionamiento, debe encauzarse la configuración de las normas de seguridad. Tales normas le permitirán definir qué solicitudes deben bloquearse y qué medidas adoptar al detectar un intento de ataque CSRF.

¿En qué se diferencia de otras soluciones de seguridad?

Contrario a muchas soluciones de seguridad equivalentes, Wallarm proporciona una protección CSRF holística que se centra en la prevención, pero también en la detección y respuesta a los ataques. Además, Wallarm destaca por su implementación y configuración sencilla, siendo una opción ideal para organizaciones de todo tipo y envergadura.

Frente a sus competidores, ofrece las siguientes fortalezas:

Protección CSRF completa: Wallarm no se limita a evitar ataques CSRF, también identifica y reacciona ante ellos.
Fácil de usar y personalizar: No es necesario poseer pericia en seguridad para usar y personalizar Wallarm.
Compatible con múltiples plataformas: Wallarm puede resguardar webs construidas con diversas tecnologías, entre ellas PHP, Java, .NET, Ruby on Rails y más.

En resumen, Wallarm brinda una solución de protección robusta y fácil de manejar que puede salvaguardar su web ante ataques CSRF. Wallarm garantiza que su sitio web y sus usuarios estarán a salvo de esta amenaza de seguridad recurrente pero potencialmente catastrofica.

FAQ

A continuación, responderemos algunas de las preguntas más frecuentes sobre el token CSRF.

¿Qué es un token CSRF?

Un token CSRF (Cross-Site Request Forgery) es una medida de seguridad que se utiliza para prevenir ataques CSRF. Estos ataques ocurren cuando un atacante engaña a un usuario para que realice una acción no deseada en un sitio web en el que está autenticado.

¿Cómo funciona un token CSRF?

Un token CSRF funciona generando un valor único y aleatorio para cada sesión de usuario. Este valor se incrusta en los formularios y se verifica en cada solicitud para asegurar que la solicitud proviene de un usuario legítimo.

¿Cómo se implementa un token CSRF?

La implementación de un token CSRF varía dependiendo del marco de trabajo web que esté utilizando. En general, se generará un token CSRF para cada sesión de usuario y se incrustará en los formularios. Cuando el usuario envía el formulario, el servidor verificará el token CSRF para asegurarse de que la solicitud es legítima.

¿Cómo puedo solucionar la vulnerabilidad CSRF en los marcos de trabajo web populares?

La mayoría de los marcos de trabajo web tienen medidas incorporadas para prevenir ataques CSRF. Por ejemplo, en Django, se puede utilizar el middleware CSRF para generar y verificar tokens CSRF. En Express.js, se puede utilizar el módulo csurf.

¿Qué hago si recibo un error de token CSRF inválido?

Si recibe un error de token CSRF inválido, puede ser debido a varias razones. Puede ser que el token CSRF no se haya generado correctamente, que el token CSRF no se haya enviado con la solicitud, o que el token CSRF haya expirado. Deberá revisar su implementación de token CSRF para solucionar el problema.

¿Cómo protege Wallarm contra los ataques CSRF?

Wallarm ofrece una solución de seguridad que protege contra una variedad de ataques, incluyendo los ataques CSRF. Utiliza una combinación de análisis de comportamiento, inteligencia artificial y reglas personalizadas para detectar y bloquear ataques.

Esperamos que estas respuestas a preguntas frecuentes sobre el token CSRF le hayan sido útiles. Si tiene más preguntas, no dude en ponerse en contacto con nosotros.

Referencias

En el laberinto de la seguridad informática, el CSRF Token ejerce una labor crucial contra los cibercriminales. Para entender sus secretos y dominar su implementación, he aquí ocho fuentes de conocimiento inigualables:

OWASP: Como vigía global del software seguro, OWASP ofrece perspectivas incisivas sobre la naturaleza y la defensa contra el Cross-Site Request Forgery (CSRF). Consúltala directamente en: https://owasp.org/www-community/attacks/csrf
MDN Web Docs: En el panteón de la programación web, los textos de MDN desenredan con maestría el enigma de los tokens CSRF. No te pierdas este recurso en: https://developer.mozilla.org/es/docs/Web/Security/CSRF
Documentación de Django: Este bastión de Python destaca por su explicación meticulosa sobre la amurallamiento contra el CSRF. Ajústala a tus necesidades en: https://docs.djangoproject.com/es/3.1/ref/csrf/
Guía de seguridad de Spring: La llave para implementar la defensa CSRF en tus soluciones Java se encuentra en: https://docs.spring.io/spring-security/site/docs/current/reference/html5/#csrf
Guía de seguridad de Rails: En el contexto de Ruby, Rails aporta una estrategia sólida para inmunizar tus creaciones contra invasiones CSRF. Utilízalo sabiamente en: https://guides.rubyonrails.org/security.html#cross-site-request-forgery-csrf
Mecanismo de seguridad CSRF de Express.js: Este formidable marco de Node.js brinda un componente de software preparado para repeler posibles embestidas CSRF. Aplícalo desde: https://expressjs.com/es/advanced/best-practice-security.html
Defensa CSRF de Laravel: En el universo de PHP, Laravel detalla una guía para armar aplicaciones contra incursiones CSRF. Préndete a esta guía en: https://laravel.com/docs/8.x/csrf
Blindaje CSRF de Wallarm: Wallarm propone una tecnología de seguridad integral de blindaje CSRF. Descubra más en: https://wallarm.com/features/csrf-protection

Estas guías iluminan las profundidades del CSRF Token, su arquitectura, ejecución y métodos para fortalecer la resistencia de aplicaciones web contra intrusos CSRF.

Book a Demo