Mengenal Cross-Site Request Forgery (CSRF) dan Cara Mengantisipasinya

Juni 04, 2024

Di dunia digital yang semakin terkoneksi, keamanan online menjadi semakin penting. Salah satu ancaman yang harus diwaspadai adalah serangan Cross-Site Request Forgery (CSRF). Dalam artikel ini, kita akan membahas secara detail tentang cara kerja CSRF, serta langkah-langkah yang dapat diambil untuk mengantisipasi serangan tersebut.

Apa Itu CSRF?

CSRF adalah serangan yang memanfaatkan kepercayaan yang diberikan oleh web browser kepada pengguna terhadap suatu situs web. Dalam serangan ini, penyerang membuat sebuah tautan atau skrip yang menjalankan aksi yang tidak dikehendaki oleh pengguna, tetapi dieksekusi menggunakan hak akses yang dimiliki oleh pengguna yang sudah terotentikasi pada suatu situs web.

Bagaimana CSRF Bekerja?

Cara kerja CSRF cukup sederhana, tetapi dapat menyebabkan kerugian yang besar bagi korban. Berikut adalah langkah-langkah umum dalam serangan CSRF:

Pemanfaatan Hak Akses yang Terotentikasi: Penyerang mencari situs web yang membutuhkan otentikasi pengguna untuk menjalankan aksi tertentu, seperti mengirimkan pesan, melakukan transfer uang, atau mengubah pengaturan akun.
Pembuatan Serangan: Penyerang membuat kode yang mengarahkan browser korban untuk melakukan aksi yang tidak dikehendaki ketika pengguna mengakses halaman tertentu. Misalnya, penyerang bisa memasukkan kode CSRF ke dalam sebuah gambar atau tautan yang tersembunyi di dalam sebuah email atau situs web palsu.
Eksekusi Aksi Tidak Diinginkan: Ketika pengguna yang sudah terotentikasi mengakses halaman yang mengandung kode CSRF, browser akan menjalankan aksi tersebut tanpa sepengetahuan atau persetujuan pengguna. Hal ini karena browser menganggap bahwa aksi tersebut diizinkan karena datang dari situs web yang dipercayai.
Potensi Kerugian: Serangan CSRF bisa memiliki berbagai dampak yang merugikan bagi korban, mulai dari kehilangan data pribadi atau keuangan, hingga penyebaran malware atau akses ilegal ke akun pengguna.

Cara Mengantisipasi CSRF

Untuk mengantisipasi serangan CSRF, ada beberapa langkah yang dapat diambil:

Menggunakan Token CSRF: Salah satu cara yang paling efektif untuk melindungi situs web dari serangan CSRF adalah dengan menggunakan token CSRF. Token ini disematkan ke dalam setiap permintaan yang dibuat oleh pengguna, dan kemudian diverifikasi oleh server untuk memastikan bahwa permintaan tersebut sah dan bukan hasil dari serangan CSRF.
Menggunakan SameSite Cookie: SameSite Cookie adalah mekanisme keamanan yang membatasi pengiriman cookie pada permintaan lintas situs. Dengan mengatur cookie dengan SameSite attribute, pengguna dapat melindungi situs web mereka dari serangan CSRF yang memanfaatkan cookie.
Menggunakan Header HTTP: Menambahkan header HTTP seperti "Origin" atau "Referer" dapat membantu server untuk memverifikasi asal permintaan dan memastikan bahwa permintaan tersebut sah. Namun, perlu diingat bahwa header HTTP dapat dimanipulasi oleh penyerang, sehingga langkah ini sebaiknya dipadukan dengan metode keamanan lainnya.
Menggunakan Fitur Keamanan Browser: Beberapa browser modern menyediakan fitur keamanan yang dapat membantu melindungi pengguna dari serangan CSRF, seperti proteksi CSRF yang terintegrasi atau fitur pengaturan keamanan yang dapat dikonfigurasi oleh pengguna.
Pendidikan Pengguna: Pendidikan dan kesadaran pengguna tentang potensi bahaya serangan CSRF juga sangat penting. Pengguna harus diajari untuk tidak mengklik tautan atau membuka lampiran dari sumber yang tidak dikenal, serta untuk selalu memperbarui perangkat lunak mereka secara teratur.

Contoh Script CSRF

Berikut adalah contoh perubahan pada formulir dengan penambahan token CSRF:

html
<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title>Form Pengiriman Pesan dengan Token CSRF</title>
</head>
<body>
    <h2>Form Pengiriman Pesan</h2>
    <form action="proses_kirim_pesan.php" method="post">
        <input type="hidden" name="csrf_token" value="<?php echo generate_csrf_token(); ?>">
        <input type="text" name="pesan" placeholder="Masukkan pesan Anda">
        <input type="submit" value="Kirim Pesan">
    </form>
</body>
</html>

Di atas, kita menambahkan input tersembunyi (hidden input) yang menyimpan nilai token CSRF. Fungsi generate_csrf_token() akan menghasilkan token CSRF yang kemudian akan dimasukkan ke dalam input tersebut. Ketika formulir ini disubmit, token CSRF juga akan dikirimkan bersama dengan data formulir ke server. Server kemudian akan memeriksa validitas token CSRF ini sebelum memproses permintaan.

Cara Menjalankan CSRF

Untuk menjalankan serangan CSRF, penyerang harus membuat skrip atau tautan yang mengarahkan browser korban untuk melakukan aksi yang tidak dikehendaki. Misalnya, penyerang dapat menyebarkan tautan yang mengarahkan pengguna ke sebuah situs web palsu yang berisi kode CSRF. Ketika pengguna mengklik tautan tersebut, browser akan menjalankan aksi yang telah ditentukan oleh penyerang, seperti mengirim pesan atau mentransfer dana, tanpa sepengetahuan pengguna.