contao/import — Issue #3207: [2.10 RC1] Tokenfehler im Zusammenhang mit Browsercache
Author: importer
Created: 2011-11-29 21:04:56+00:00
State: open
Labels: Defect, frontend, Invalid

2.10RC1 mit aktueller Music Academy (Rev869) installiert, keine Erweiterungen.
Server und Browsercache sind als Standard schon aktiviert.

Einstellungen im Backend:
- Cachezeit im Startpunkt der Webseite auf 24 Stunden
- alle Dateien bereinigen und abmelden!

1. Einige Menuepunkte anklicken, damit der Browser Cache gefüllt wird:
z.B. "Home", "The academy", "Courses"

2. Dann den Browser schliessen, damit die Session beendet wird.
(Jetzt geht es natürlich nur sinnvoll weiter, wenn der Browser Cache beim Schliessen nicht gelöscht wird.)

3. Contao wieder im Browser öffnen.

4. Einen Menuepunkt von Punkt 1 aufrufen, z.B. "The academy"

5. Button "Login" anklicken

=>> Fehlermeldung "Invalid Request Token"

Logisch, weil alle 25 zulässige Token an die Browser Session gebunden sind.
The Academy und alle Portale mit Login/Formularfeldern werden mit einer 24h Browser Cache Einstellungen nach einem Neustart des Browsers innerhalb von 24h zunächst nur noch ungültige Token aus Ihrem Browser Cache absenden und entsprechende Fehlermeldungen erhalten.

Benötigen wir das Token im öffentlichen Bereich eines Portals?

Das Token dient der Verhinderung von Cross-Site Request Forgeries, also einem Angriff zum Missbrauch von Nutzerrechten.
z.B. Leo ist als Admin im Contao Entwicklersystem angemeldet und ich locke Ihn unter Vorwand auf eine von mir präperierte Seite.
Das Aufrufen meiner Seite mit Leos Browser erzeugt jedoch ein Post Request an Leos Entwicklersystem und in dem Post Data steht sinngemäß: mach Georg zum Superadmin.

Das funktioniert nur wenn der Angegriffene Rechte besitzt, die der Angreifer nicht hat. Solange aber kein Nutzer angemeldet ist, können auch keine Nutzerrechte missbraucht werden.

=> Tokenprüfung nur wenn sich ein Nutzer erfolgreich angemeldet hat - also z.B. das Cookie eines authentifizierten Nutzers mitgesendet wird: FE_USER_AUTH=

--- _Originally created by Georg on June 27th, 2011, at 03:11pm (ID 3207)_