20061224

Browser protection from xsrf

I've been noodling over ways that browsers can reduce cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 threat of XSRF, and unfortunately, shy of forcing cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user to make a decision, or removing existing functionality, I can't think of a really good way. Here are some thoughts on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 matter:

  • Disallow img, script, rel, object, etc. requests to a different domain than cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 page itself. Most browsers used to have options for this, but cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re are so many ad-driven sites, that it's not really practical to implement. Nor is it practical to force cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user to make a decision about what to do cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re.
  • Disallow POST via Javascript. This would break a bunch of existing apps.
  • When a request (GET or POST) is being made "automagically", request user verification, including cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 form data that's being sent.
  • This is ugly, ugly, ugly, but use a flag on a cookie that identifies it as a session cookie. If this flag is set, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n a site that is not in that cookie scope that initiates a request that would also send that cookie eicá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r doesn't send cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 cookie, or disallows cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 transaction, or asks cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user. App developers can work around this by just setting cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 flag. Ad servers can make sure cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y're still tracking users (for right or for wrong) by just NOT setting cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 flag.

0 comments: