เกราะป้องกันเว็บแอปพลิเคชัน: เข้าใจและรับมือ XSS กับ CSRF
โลกอินเทอร์เน็ตที่เราใช้กันอยู่ทุกวันขับเคลื่อนด้วยเว็บแอปพลิเคชันมากมาย ตั้งแต่ธนาคารออนไลน์ โซเชียลมีเดีย ไปจนถึงร้านค้าออนไลน์ ความสะดวกสบายนี้มาพร้อมกับความท้าทายด้านความปลอดภัย ที่ผู้ไม่หวังดีจ้องจะใช้ช่องโหว่เพื่อเข้าถึงข้อมูลหรือสร้างความเสียหาย หนึ่งในช่องโหว่ที่พบบ่อยและอันตรายคือ Cross-Site Scripting (XSS) และ Cross-Site Request Forgery (CSRF) การทำความเข้าใจช่องโหว่เหล่านี้เป็นก้าวแรกสู่การสร้างเว็บที่ปลอดภัยยิ่งขึ้น
Cross-Site Scripting (XSS) คืออะไร?
XSS หรือ Cross-Site Scripting เป็นช่องโหว่ที่เกิดจากการที่เว็บไซต์อนุญาตให้ผู้โจมตี ฉีดโค้ดอันตราย โดยส่วนใหญ่เป็น JavaScript เข้าไปในหน้าเว็บที่ผู้ใช้งานคนอื่นจะมองเห็นและรันโค้ดนั้นในเบราว์เซอร์ของตัวเอง พูดง่าย ๆ คือ ผู้โจมตีสามารถทำให้เบราว์เซอร์ของผู้ใช้งานรันสคริปต์ที่ตัวเองเขียนขึ้นมาได้
ผลกระทบจากการโจมตี XSS นั้นร้ายแรงกว่าที่คิด สคริปต์ที่ถูกฉีดเข้าไปสามารถ ขโมยคุกกี้ หรือเซสชันของผู้ใช้งาน ทำให้ผู้โจมตีสวมรอยเป็นผู้ใช้งานนั้นได้ทันที นอกจากนี้ยังสามารถ เปลี่ยนเนื้อหาของหน้าเว็บ ไปจนถึง เปลี่ยนเส้นทางผู้ใช้งาน ไปยังเว็บไซต์ปลอมเพื่อขโมยข้อมูลส่วนตัวได้ด้วย ช่องโหว่ XSS แบ่งออกเป็นหลายประเภทหลัก ๆ เช่น Reflected XSS ที่สคริปต์ถูกสะท้อนกลับมาทันทีจากอินพุตของผู้ใช้ และ Stored XSS ที่สคริปต์ถูกบันทึกไว้บนเซิร์ฟเวอร์แล้วแสดงผลให้ผู้ใช้อื่นเห็นในภายหลัง
Cross-Site Request Forgery (CSRF) คืออะไร?
CSRF หรือ Cross-Site Request Forgery คือช่องโหว่ที่หลอกให้ เบราว์เซอร์ของผู้ใช้งานส่งคำขอที่ไม่พึงประสงค์ ไปยังเว็บไซต์ที่ผู้ใช้งานนั้นกำลังล็อกอินอยู่ โดยที่ผู้ใช้งานไม่รู้ตัว หลักการคือ ผู้โจมตีจะสร้างหน้าเว็บปลอมที่มีโค้ดสำหรับส่งคำสั่งบางอย่างไปยังเว็บไซต์เป้าหมาย เช่น โอนเงิน เปลี่ยนรหัสผ่าน หรือลบบัญชี เมื่อผู้ใช้งานที่ล็อกอินอยู่ในเว็บไซต์เป้าหมายแล้วไปเปิดหน้าเว็บปลอมนั้น เบราว์เซอร์ก็จะส่งคำสั่งตามที่ผู้โจมตีต้องการไปโดยอัตโนมัติ
จินตนาการดูว่าผู้ใช้งานกำลังล็อกอินเข้าสู่ระบบธนาคารออนไลน์อยู่ แล้วเผลอคลิกลิงก์ที่ผู้โจมตีส่งมา ลิงก์นั้นอาจมีคำสั่งให้โอนเงินไปยังบัญชีของผู้โจมตี โดยที่ผู้ใช้งานไม่ได้รับอนุญาตหรือไม่ได้กดยืนยันด้วยตัวเองเลย ช่องโหว่นี้มักใช้ประโยชน์จาก คุกกี้เซสชัน ที่เบราว์เซอร์แนบไปกับการร้องขอโดยอัตโนมัติ
การป้องกันและแก้ไข
การป้องกัน XSS และ CSRF จำเป็นต้องมีกลยุทธ์ที่รอบด้าน ทั้งในฝั่งการพัฒนาและฝั่งเซิร์ฟเวอร์
สำหรับการป้องกัน XSS สิ่งที่สำคัญที่สุดคือ การตรวจสอบอินพุต (Input Validation) และ การเข้ารหัสผลลัพธ์ (Output Encoding) ข้อมูลทุกอย่างที่มาจากผู้ใช้งาน ไม่ว่าจะเป็นชื่อ ข้อความ หรือ URL ควรได้รับการตรวจสอบและทำความสะอาดก่อนบันทึกหรือแสดงผล การเข้ารหัสผลลัพธ์ช่วยแปลงอักขระพิเศษให้อยู่ในรูปแบบที่เบราว์เซอร์ตีความว่าเป็นข้อมูล ไม่ใช่โค้ด สคริปต์ที่พยายามแทรกเข้ามาจึงไม่ถูกรัน นอกจากนี้ การตั้งค่า Content Security Policy (CSP) ก็ช่วยจำกัดแหล่งที่มาของสคริปต์และทรัพยากรอื่น ๆ ได้
ส่วนการป้องกัน CSRF หัวใจสำคัญคือการใช้ โทเค็นป้องกัน CSRF (Anti-CSRF Tokens) หรือ Synchronizer Tokens โดยเซิร์ฟเวอร์จะสร้างโทเค็นที่ไม่ซ้ำกันสำหรับแต่ละเซสชันและแนบไปกับฟอร์มหรือคำขอที่สำคัญ เมื่อผู้ใช้งานส่งคำขอ เบราว์เซอร์ก็จะส่งโทเค็นนี้กลับมาด้วย เซิร์ฟเวอร์จะตรวจสอบว่าโทเค็นถูกต้องหรือไม่ หากไม่มีหรือไม่ตรงกัน ก็จะปฏิเสธคำขอนั้น นอกจากนี้ การตั้งค่า SameSite cookies ก็ช่วยป้องกันไม่ให้คุกกี้ถูกส่งไปพร้อมกับคำขอที่มาจากโดเมนอื่น ๆ ได้อย่างมีประสิทธิภาพ
การสร้างเว็บแอปพลิเคชันที่ปลอดภัยไม่ใช่แค่การแก้ไขเมื่อเกิดปัญหา แต่เป็นการวางแผนป้องกันตั้งแต่เริ่มต้น ด้วยความเข้าใจในช่องโหว่และมาตรการป้องกันที่เหมาะสม จะช่วยให้ทั้งผู้พัฒนาและผู้ใช้งานมั่นใจในความปลอดภัยของข้อมูลและประสบการณ์การใช้งานออนไลน์ได้มากขึ้น