Utmaningar
05-01: Vilket värde på SameSite bör en sessionscookie ha för att skydda mot CSRF, utan att användaren verkar utloggad när hen kommer till webbplatsen via en länk från en annan webbplats?
Section titled “05-01: Vilket värde på SameSite bör en sessionscookie ha för att skydda mot CSRF, utan att användaren verkar utloggad när hen kommer till webbplatsen via en länk från en annan webbplats?”- A) Lax
- B) Strict
- C) None
- D) Secure
- E) Optional
Svaret är A. Med Lax skickas cookien inte med förfrågningar som initieras från andra webbplatser,
till exempel ett formulär som postar till din webbplats, vilket skyddar mot CSRF. Den skickas dock
vid vanlig navigering, så användaren förblir inloggad när hen klickar på en länk hit.
Strict skyddar ännu mer, men då skickas cookien inte ens när användaren följer en länk från en
annan webbplats, och hen verkar därför utloggad på första sidan. None ger inget skydd alls och
kräver dessutom Secure. Secure är ett eget attribut och inget värde för SameSite, och
Optional finns inte.
Sätt alltid SameSite uttryckligen. Om attributet saknas skiljer sig webbläsarna åt:
Chromium-baserade webbläsare (Chrome, Edge) behandlar cookien som Lax, medan Firefox och Safari
behandlar den som None.
05-02: Hur skyddar vi vår applikation mot XSS-attacker?
Section titled “05-02: Hur skyddar vi vår applikation mot XSS-attacker?”- A) Filtrera input på klienten
- B) Filtrera input på servern
- C) Escape output på servern
- D) Använda en Content Security Policy (CSP)
För att skydda en applikation mot XSS-attacker bör man använda en Content Security Policy (CSP). CSP är en effektiv åtgärd för att begränsa vilka typer av resurser som får laddas eller exekveras, vilket minskar risken för skadlig kodexekvering.
Vi kan också skydda oss genom att på servern filtrera input och escapa output.
05-03: En XSS-attack beskrivs bäst som
Section titled “05-03: En XSS-attack beskrivs bäst som”- A) En attack där angriparen tar kontroll över en användares cookies
- B) En attack där angriparen kan exekvera skript på klienten
- C) En attack där angriparen kan injicera frågor till en databas
- D) En attack där angriparen kan avkoda en användares lösenord
En XSS-attack (Cross-Site Scripting) beskrivs bäst som en attack där angriparen kan exekvera skript på klienten. Detta innebär att angriparen kan köra skadlig kod i användarens webbläsare.
05-04: När vi använder en “allow list”, gör vi…
Section titled “05-04: När vi använder en “allow list”, gör vi…”- A) Filtrerar ut dåliga tecken
- B) Definierar vad en specifik användare kan göra i vår webbapplikation
- C) Filtrerar ut allt förutom vissa tecken
- D) Hashar användares lösenord
När vi använder en “allow list” filtrerar vi ut allt förutom vissa tecken. Det innebär att endast de tecken eller värden som uttryckligen tillåts passerar filtret, vilket bidrar till att öka säkerheten.
05-05: Vilken är den högsta säkerhetsrisken i webbapplikationer enligt OWASP Top 10:2025?
Section titled “05-05: Vilken är den högsta säkerhetsrisken i webbapplikationer enligt OWASP Top 10:2025?”- A) Injection
- B) Kontoövertagande
- C) Bruten åtkomstkontroll
- D) Osäker design
Enligt OWASP Top 10:2025 är den högsta säkerhetsrisken i webbapplikationer “Bruten åtkomstkontroll” (A01:2025 Broken Access Control), precis som i 2021 års lista. Detta innebär att systemets åtkomstkontroller är otillräckliga eller implementerade felaktigt, vilket gör det möjligt för obehöriga att få tillgång till känslig information eller funktioner.
05-06: Vad används när vi krypterar kommunikationen mellan en webbserver och dess klienter?
Section titled “05-06: Vad används när vi krypterar kommunikationen mellan en webbserver och dess klienter?”- A) Asymmetrisk kryptering
- B) Symmetrisk kryptering
- C) HTTPS-protokoll
- D) SSL/TLS-certifikat
A, B, C och D.
För att kryptera kommunikationen mellan en webbserver och dess klienter används vanligen SSL/TLS-certifikat tillsammans med HTTPS-protokollet. Dessa tekniker säkerställer att data som överförs är krypterad och skyddad från obehörig åtkomst. Krypteringen inleds med en asymmetrisk kryptering som övergår till en symmetrisk.
