Gepi

h1. CSRF

Vous recevez par mail une alerte CSRF du type:

==========================

La variable csrf_alea ne coincide pas avec le gepi_alea en SESSION.

La personne victime de l'attaque était XXXXXXXX.

La page cible était /gepi/saisie/ajax_appreciations.php avec les variables suivantes:

Variables en $_POST:

Variables en $_GET:

==========================

Voilà ce que j'avais répondu à un gepi-user:

==========================

Est-ce que le module gepi est bien à jour?

Quelle révision affichée en rouge dans le bandeau d'entête en admin?

Il y avait un défaut dans le dispositif de sauvegarde des appréciations

temporaires:

A chaque changement de champ TEXTAREA, on provoquait l'enregistrement du

contenu du champ dans une table temporaire pour permettre une restauration

par la suite en cas de pépin.

Cet enregistrement se faisait dès qu'on quittait le champ sans se préoccuper

de savoir si le contenu du champ avait changé.

Conséquence:

Si on se reconnectait dans gepi (d'où génération d'un nouveau token de session

dans gepi) en ayant conservé un onglet sur la page de saisie d'appréciations,

qu'on y revenait et s'y promenait de champ en champ sans même chercher à

modifier d'appréciations, on provoquait ces alertes qui ne sont pas de vraies

attaques parce que le token dans la page de saisie était resté celui de

l'ancienne session.

Je pense donc qu'il s'agit d'une fausse alerte, mais qu'avec un gepi à jour

elle devrait moins souvent pouvoir se produire.

Cependant:

Revenir dans un onglet de saisie d'appréciations après s'être

déconnecté/reconnecté n'est pas prudent:

Il faut rafraichir la page avant de tenter des modifs parce qu'elles ne seront

ni sauvegardées en table temporaire, ni sauvegardées à l'enregistrement de la

page.

Note:

Les attaques CSRF consistent à faire en sorte qu'un utilisateur provoque

lui-même les dégats sur ses propres données s'il a une session ouverte.

http://fr.wikipedia.org/wiki/Cross-site_request_forgery

L'utilisation de token (une chaine aléatoire changeant au moins à chaque

session) est un moyen de contrer des attaques CSRF.

==========================