Sukelletaan sisään ja puhutaan siitä, miksi uudelleenkäyttötunnuksen kierto on tehokas tapa suojata uudelleenkäyttötunnuksesi turvallisuus.
Uudelleenkäyttötunnus on erityinen tunnustyyppi, jota käytetään uuden käyttöoikeustunnuksen saamiseen, kun nykyinen käyttöoikeustunnus on vanhentunut. Tutustu aiempaan postaukseemme Ymmärrä tunnukset OIDC:ssä saadaksesi lisätietoja.
Esittelyssä mainitsimme myös, että Logto:ssa suojaamaan uudelleenkäyttötunnustasi, olemme oletuksena ottaneet käyttöön "uudelleenkäyttötunnuksen kierto" mekanismin.
Mutta mitä tarkalleen ottaen on "uudelleenkäyttötunnuksen kierto"? Miten se hyödyttää loppukäyttäjiämme? Sukelletaanpa sisään!
Uudelleenkäyttötunnuksen kierto on mekanismi, joka mitätöi edellisen uudelleenkäyttötunnuksen ja antaa uuden, kun uudelleenkäyttötunnusta käytetään uuden käyttöoikeustunnuksen hankkimiseen. Tämä mekanismi varmistaa, että uudelleenkäyttötunnus uusitaan ennen sen vanhenemista.
Uudelleenkäyttötunnuksilla on pitkä käyttöikä, yleensä viikkoja tai jopa kuukausia. Ja koska voimme hankkia uusia käyttöoikeustunnuksia uudelleenkäyttötunnuksella, uudelleenkäyttötunnuksesta tulee myös houkutteleva kohde hyökkääjille. Siksi OAuth 2.0 BCP:n mukaan valtuutuspalvelimen on toteutettava jokin seuraavista toimenpiteistä estääkseen tällaiset hyökkäykset.
Sec-Token-Binding) uudelleenkäyttöpyynnön otsikossa, joten myönnetty uudelleenkäyttötunnus on kryptografisesti sidottu tiettyyn asiakasohjelmaan. Nykyään vain osa natiiveista asiakkaista on lähettäjärajoitettuja, ja useimmat nykyaikaiset SPA:t ja mobiilisovellukset ovat julkisia.Logto:ssa, kun käyttäjä on kirjautunut onnistuneesti sisään, Grant-objekti luodaan ensin tietokantaan ja sen jälkeen myönnetyllä uudelleenkäyttötunnuksella on viite grantId ja se osoittaa ensimmäistä Grant-objektia.
Aina kun uudelleenkäyttötunnuksen kierto tapahtuu, edellinen uudelleenkäyttötunnus merkitään käytetyksi, ja Logto:n valtuutuspalvelin myöntää uuden uudelleenkäyttötunnuksen samalla grantId:llä.
Oletetaan, että edellinen uudelleenkäyttötunnus vuotaa, niin joko oikeutettu asiakas tai hyökkääjä olisi käyttänyt sitä vaihtaakseen käyttöoikeustunnuksen. Ja riippumatta siitä, kuka niin teki, vuotanut uudelleenkäyttötunnus on jo kierrätetty ja merkitty käytetyksi. Joku heistä, joka käytti käytettyä uudelleenkäyttötunnusta toissijaisesti, ilmoittaa valtuutuspalvelimelle rikkomuksesta. Valtuutuspalvelin mitätöi kaikki saman grantId:n sisältävät uudelleenkäyttötunnukset.
Yllä olevassa tapauksessa hälytyksen käynnistämisen jälkeen oikeutettu asiakas voi vain autentikoitua uudelleen kirjautumisprosessin kautta saadakseen uuden uudelleenkäyttötunnuksen. Hyökkääjä taas menettää järjestelmäsi hallinnan ja estetään ulkopuolelle.
Logto:ssa uudelleenkäyttötunnuksen kierron oletuskäyttäytyminen määrittää:
Logto hallintakonsolissa, mene Admin Console > Applications ja valitse sovellus, jolle haluat vaihtaa uudelleenkäyttötunnuksen kierron. Sovelluksen tietosivulla, mene "Advanced settings" välilehdelle ja selaa alas alhaalle, löydät kytkimen sekä joitakin muita hyödyllisiä asetuksia.
Jos katkaiset kytkimen, uudelleenkäyttötunnustasi ei koskaan kierrätetä ennen sen vanhenemista. Siksi suosittelemme vahvasti aina ottamaan käyttöön uudelleenkäyttötunnuksen kierron.
Uudelleenkäyttötunnuksen kierto on paras käytäntö, joka varmistaa uudelleenkäyttötunnuksen turvallisuuden sovelluksessasi. Se mitätöi edellisen uudelleenkäyttötunnuksen ja myöntää uuden, kun uudelleenkäyttötunnusta käytetään uuden käyttöoikeustunnuksen saamiseen. Tämä mekanismi vähentää tunnuksen vuotamisen riskiä ja varmistaa uudelleenkäyttötunnuksen turvallisuuden.
Logto noudattaa alan johtavia parhaita käytäntöjä ja asettaa aina käyttäjien turvallisuuden etusijalle.
Toivon, että tämä blogi selittää hyvin epäilyksenne uudelleenkäyttötunnuksen kiertomekanismista. Kerro meille, jos jokin on edelleen epäselvää. Palautteesi ja ehdotuksesi ovat aina tervetulleita!
Kokeile Logtoa tänään ja koe turvallisempi tunnistautumiskokemus.