"iat"-tunnisteen tärkeyden ymmärtäminen ja "Virheellinen luontiaika" -virheen vianmääritys

"iat"-tunnisteen tärkeyden ymmärtäminen ja "Virheellinen luontiaika" -virheen vianmääritys#

Tausta#

Yhteisössämme kuulemme silloin tällöin käyttäjiltämme tästä päänvaivaa aiheuttavasta ongelmasta: "Virheellinen luontiaika ID-tokenissa". Käyttäjämme valittavat, että "Se toimi eilen, mutta ei toimi enää tänään" tai "Se toimii tällä tietokoneella, mutta ei toisella".

Tässä kirjoituksessa tutkimme, miksi tämä ongelma ilmenee Logtossa ja annamme sinulle osaamisen sen ratkaisemiseksi.

Johdanto#

OAuth 2.0:ssa ja OpenID Connectissä (OIDC) ID-tokenit ovat tärkeässä roolissa käyttäjätunnistetietojen turvallisessa välittämisessä osapuolten välillä. Yksi ID-tokenin väitteistä on "iat" (luontiaika), joka edustaa aikaleimaa, jolloin ID-token on luotu valtuutuspalvelimen toimesta.

Miksi "iat"-tunniste on tärkeä?#

1. Tokenin ajantasaisuus ja vanhentuminen: "iat"-tunniste tarjoaa tärkeää tietoa ID-tokenin ajantasaisuuden arvioimiseksi. Vertaamalla "iat"-aikaleimaa nykyhetkeen osapuolet voivat arvioida, kuinka äskettäin token on luotu. Tämä tieto on arvokasta sovelluksille, jotka tarvitsevat käyttää ajantasaisia tunnistetietoja.
2. Toistohyökkäysten estäminen: "iat"-tunniste on tärkeä toistohyökkäysten estämisessä. Toistohyökkäyksessä hyökkääjä yrittää käyttää aiemmin siepattua tokenia uudelleen. "iat"-tunniste auttaa havaitsemaan tällaiset hyökkäykset sallimalla osapuolelle asettaa toleranssi-ikkuna tokenin iän perusteella. Tämän ikkunan ulkopuolelle jäävät tokenit voidaan katsoa kelvottomiksi.
3. Tokenin käyttöpolitiikkojen täytäntöönpano: Sovellukset asettavat usein politiikkoja ID-tokenin suurimmalle sallitulle iälle turvallisuussyistä. "iat"-tunniste mahdollistaa osapuolten näiden politiikkojen täytäntöönpanon, varmistaen, että tokeneita käytetään määritellyn ajanjakson sisällä. Tämä auttaa minimoimaan vanhentuneiden tokenien käyttöön liittyviä riskejä.
4. Tokenin mitätöinnin tukeminen: Joissakin tilanteissa valtuutuspalvelimen on saatava mitätöityä annetut tokenit. "iat"-tunniste on keskeinen tokenin mitätöintiprosesseissa tarjoamalla selkeän aikaleiman, jolloin token on luotu. Se yksinkertaistaa tiettyjen tokenien tunnistamista ja mitätöimistä niiden kelpaavuusajan perusteella.

Parhaat käytännöt "iat"-tunnisteen käsittelyyn#

• Vahvista "iat"-tunniste: Osapuolten tulee aina vahvistaa "iat"-tunniste varmistaakseen, että se on hyväksyttävässä aikavälissä. Tämä aikaväli voi vaihdella sovelluksen erityisten turvallisuusvaatimusten mukaan.
• Harkitse kellon heittoa: Salli tietty kellon heitto vertaamalla "iat"-aikaleimaa nykyhetkeen. Kellon heitto huomioi mahdolliset aikavirheet valtuutuspalvelimen ja osapuolen välillä.
• Aseta tokenin vanhentumispolitiikat: Hyödynnä "iat"-tunnistetta yhdessä "exp" (vanhentumisaika) -tunnisteen kanssa täytäntöönpedoissa kattavia tokenien käyttöpolitiikkoja, jotka parantavat sovelluksen yleistä turvallisuutta.

Vianmääritys#

Nyt surullisen kuuluisan "Virheellinen luontiaika" -virheen perimmäinen syy on lähes selvä.

Joitakin toistohyökkäyksiä ja kellon heittoa huomioiden Logto asetti aiemmin 60 sekunnin toleranssi-ikkunan ID-tokeneille. Mikä tahansa osapuoli, jonka aikaväli on yli 60 sekuntia maailmanajasta, katsotaan mahdollisesti riskialttiiksi ja se epäonnistuu ID-tokenin vahvistamisessa. Siten "Virheellinen tokenin luontiaika" -virhe.

Todellisessa maailmassa kellon heittoa kuitenkin esiintyy, joskus tietokoneesi ei pysty yhdistämään maailmanajanseurantaan synkronoidakseen kellonaikaa. Joskus valtuutuspalvelin on epäsynkronissa. Joskus jopa pahempaa, molemmat ovat epäsynkronissa.

Lisäksi SSO-tilanteissa aikaväli eri asiakkaiden ja SSO-tarjoajan välillä voi olla vielä suurempi.

Ratkaisu#

Vähentääkseen kipua ja huomioiden myös turvatoimenpiteet, Logto on nyt kasvattanut "iat"-toleranssia 60 sekunnista 5 minuuttiin ei-SSO-todennuksissa ja 10 minuuttiin SSO-tilanteissa.

Samaan aikaan, voit tarkistaa, onko tietokoneesi aika synkronoitu maailman kanssa käyttämällä tätä kätevää sivustoa: https://time.is Synkronoi kellonaikasi manuaalisesti tai vaihda toiseen aikapalvelimeen varmistaaksesi, että aikaväli on aina meidän toleranssi-ikkunassa.

Päätelmä#

"iat"-tunniste ID-tokeneissa on olennainen tekijä identiteetin ja pääsyn hallinnan turvallisuuden parantamisessa nykyaikaisissa sovelluksissa. "iat"-tunnisteen käsittelyn parhaiden käytäntöjen sisällyttäminen varmistaa vankan ja turvallisen identiteetin todennusprosessin.

Varmista myös, että tietokoneesi aika on aina synkronoitu maailmanajan palvelimen kanssa.