Security

Einschränken der Requests auf HTTP-POST

from plone.protect import PostOnly
from plone.protect import protect

@protect(PostOnly)
def something(self, param, REQUEST=None):
    pass

Form authentication (CSRF)

Cross-Site-Request-Forgery CSRF ist ein Angriffsverfahren, bei dem ein ein HTTP-Formular an einen anderen Ort übermittelt wird und anschließend die Parameter ausgewertet werden. Form authentication soll verhindern, dass diese Parameter ausgewertet werden können da zunächst die Authentizität überprüft wird.

Der erforderliche Token kann einfach generiert werden mit:

<span tal:replace="structure context/@@authenticator/authenticator"/>

Zur Überprüfung des Tokens können verschiedene Methoden verwendet werden:

1. ZCA

   authenticator=getMultiAdapter((context, request), name=u"authenticator")
   if not authenticator.verify():
       raise Unauthorized
   

2. mit einem Decorator

   from plone.protect import CheckAuthenticator
   from plone.protect import protect
   
   @protect(CheckAuthenticator)
   def something(self, param, REQUEST=None):
       pass
   

3. Anfrage an einen Funktionsvalidator weiterreichen

   from plone.protect import CheckAuthenticator
   …
   CheckAuthenticator(self.context.REQUEST)
   …
   

Automatischer CSRF-und Clickjacking-Schutz

Seit Version 3 bietet plone.protect einen automatischen CSRF-Schutz indem automatisch ein Auth-Token in allen internen Formularen verwendet wird, wenn der Benutzer angemeldet ist oder in die ZODB geschrieben werden soll.

Zum Schutz vor Clickjacking setzt Plone zudem den X-Frame-Options-Header auf SAMEORIGIN.

Um diesen Wert zu ändern gibt es drei Möglichkeiten:

1. In einem View überschreiben, z.B. mit:

   self.request.response.setHeader ('X-Frame-Options "," AllowAll'))
   

2. Im Proxy-Server überschreiben

3. Die Umgebungsvariable PLONE_X_FRAME_OPTIONS ändern

s.a. Debugging CSRF Protection False Positives in Plone