È sicuro per esporre refreshtoken API

A Auth0, ha Creato una serie di caratteristiche in grado di attenuare i rischi associati all'utilizzo di refresh token imponendo garanzie e controlli sulla loro ciclo di vita. La nostra identità piattaforma offre refresh token di rotazione, che viene fornito anche con automatico riutilizzo di rilevamento.

Si prega di leggere il seguente argomento.

Refresh Token Di Rotazione

Refresh Token Automatico Riutilizzo Di Rilevamento

La JWT firmato con preshared chiave segreta. Poiché è REST API nel backend e apolide, jwt è utilizzato per l'autorizzazione e costruire l'oggetto principale

Come dici tu, il token di accesso rappresentano l'autorizzazione, in applicazione, se il refresh token è esposto quindi il refresh token può essere presentata da un cattivo attore per ottenere un token di accesso possono utilizzare per la stessa autorizzazione.

Utilizzando un 'già condivisa segreto' indica la JWT è un HMAC unica variante di JWT, cioè non c'è la crittografia, che indica privato e coppia di chiavi pubblica invece di un "già condivisa segreto'. Così la JWT è essenzialmente una firma per il targhette di caratteristiche di sicurezza stiamo assicurando l'integrità che le richieste di JWT sono ben formate e non sono state modificate dal sottoscritto. Significa anche stesso segreto utilizzato per la firma su un'estremità, come è stato utilizzato per verificare l'altra estremità, lo stesso segreto deve essere utilizzato perché la verifica di una firma richiede che entrambe le estremità generare la firma digitale e la firma del match. Quindi no, i dati vengono criptati, quindi non dati in JWT è sensibile e ha bisogno di essere protetto.

Dato questo contesto, aggiornamento e token di accesso sono un semplice JWT che può essere generato solo da parte del titolare del segreto - se sono esposti possono essere utilizzati per effettuare le richieste di dannose finché restano validi (nbf richiesta di rimborso).

Essenzialmente questo tipo di JWT può essere utilizzato in modo improprio, se esposto a rappresentare l'identità segreta che ha firmato il JWT rappresenta, senza in realtà conoscere il segreto stesso, fino al nbf pretendiamo scade il token e un refresh token è il meccanismo per estendere la nbf pretendiamo senza avere il segreto (che si tradurrà in una nuova firma, perché il nbf richiesta di risarcimento per cambiare se utilizzato).

C'è una protezione dal token di accesso riutilizzo, è il nonce reclamo. Se non si utilizza un nonce la domanda si può leggere su come OIDC hanno implementato e fare egli stesso nella tua app. Ma come si dice, la tua app è stateless, ma si spera che il backend è una forma di stato per garantire che non nonce riutilizzo e prevenire JWT firma il riutilizzo. Per ogni nonce la JWT modifiche di firma, quindi il token di accesso modifiche e possono essere usati solo 1 volta. Così, in caso di furto si tratta di una race condition che utilizza il token prima, che notevolmente riduce il rischio, ma non è una soluzione perfetta.