Protezione contro la falsificazione di richieste intersito (CSRF) in Business Manager

Attacchi CSRF

Tutte le pagine di Business Manager sono automaticamente protette dagli attacchi CSRF. Ogni volta che una pagina di Business Manager effettua una richiesta al server di B2C Commerce, la pagina inserisce automaticamente uno speciale token CSRF nella richiesta. Quando riceve la richiesta, il server stabilisce se essa sta tentando di eseguire un'azione protetta (potenzialmente dannosa). Se la richiesta tenta di eseguire un'azione di questo tipo, il server convalida automaticamente il token inserito. Se riesce a convalidare il token, il server completa l'azione con protezione e restituisce la risposta prevista; in caso contrario, a partire dalla versione 17.4 nelle istanze SIG e dalla versione 17.5 nelle istanze PIG, il server registra un avviso e in alcuni casi restituisce una pagina di errore.

Se viene visualizzata una pagina di errore, seguire la procedura indicata e riprovare dal punto in cui si è verificato l'errore. Se il nuovo tentativo va a buon fine, ignorare l'errore; se non va a buon fine e l'errore persiste, e che sia attiva la relativa protezione. In questo caso, contattare il reparto sicurezza.

Non tutti gli errori o le voci di registro correlati a CSRF indicano un attacco. Un amministratore Salesforce deve risolvere i problemi relativi alle voci di registro CSRF per individuarne le cause sottostanti e stabilire una linea d'azione appropriata. In alcuni casi, se si utilizza un'estensione di Business Manager personalizzata, è necessario che uno sviluppatore modifichi il codice personalizzato dell'estensione in modo che vengano correttamente inseriti i token CSRF. In altri casi è possibile scegliere di aggiungere alla whitelist una pipeline o un agente utente specifico.

Risoluzione dei problemi delle voci di registro CSRF

Le voci di registro CSRF hanno il seguente formato:

Token CSRF della pipeline non valido[reason]: pipeline: (token|no_token):: Referer/Origine: URL:: UserAgent: agente
            

Dove:

• reason è una stringa che descrive il motivo per cui la convalida non è andata a buon fine. Alcuni motivi possibili:
  • Convalida origine: la richiesta proveniva da un sito web che non è una pagina di Business Manager.
  • Nessun token: la richiesta è stata effettuata senza un token CSRF.
  • Convalida token CSRF: il token non è corretto per questo utente o è scaduto (timeout di 1 ora).
  • Eccezione verificatasi: si è verificata una situazione imprevista durante l'elaborazione (repository generico).
• pipeline: nome della pipeline nella richiesta.
• token: token ricevuto dal server (se ne è stato inviato uno nella richiesta).
• no_token stringa indica che non è stato trovato alcun token nella richiesta: "Il token CSRF non esiste."
• URL: URL indicante l'origine della richiesta.
• agent rappresenta i primi 32 caratteri dell'agente utente.

Per trovare queste voci nei file di registro, cercare la stringa "Token CSRF della pipeline".

Vedere Log Center.

Il server crea voci di registro ogni volta che prevede un token CSRF valido, ma non riesce a trovarne uno o ne trova uno non valido. Le seguenti situazioni possono causare voci di registro:

<meta http-equiv="refresh" 
content="0; URL=${dw.web.URLUtils.url('ViewAccount-Show').toString()}">

<meta http-equiv="refresh" 
content="0; URL=${dw.web.URLUtils.url('ViewAccount-Show').appendCSRFTokenBM().toString()}">