In dit artikel gaan we het belang van de "iat" claim in het ID-token verkennen en hoe we de fout "Ongeldige afgegeven tijd in ID-token" kunnen oplossen.
In onze gemeenschap horen we zo nu en dan van onze gebruikers over dit verwarrende probleem van "Ongeldige afgegeven tijd in het ID-token". Onze gebruikers klagen dat "Het werkte gisteren nog, maar plotseling niet meer vandaag" of "Het werkt op deze computer, maar niet op een andere".
In dit artikel gaan we verkennen waarom dit probleem optreedt in Logto en je uitrusten met de kennis om het aan te pakken.
In OAuth 2.0 en OpenID Connect (OIDC) spelen ID-tokens een cruciale rol in het veilig overbrengen van gebruikersidentiteitsinformatie tussen partijen. Een van de claims in een ID-token wordt "iat" (afgegeven-tijd) genoemd, wat de tijdstempel vertegenwoordigt waarop het ID-token door de autorisatieserver is afgegeven.
Nu is de hoofdoorzaak van de beruchte fout "Ongeldige afgegeven tijd" bijna duidelijk.
Om herhalingsaanvallen te voorkomen en ook rekening te houden met de klokverschuiving, stelde Logto eerder een tolerantievenster van 60 seconden in voor de ID-tokens. Elke vertrouwende partij waarvan het tijdsverschil meer dan 60 seconden is met de wereldtijd, wordt als potentieel risicovol beschouwd en zal de ID-token validatie niet doorstaan. Dus de fout "Ongeldig token bij tijd".
Echter, in de echte wereld, geldt klokverschuiving, soms kan je computer niet met de wereldtijdserver verbinden om de computertijd te synchroniseren. Soms is de autorisatieserver niet gesynchroniseerd. Soms, nog erger, zijn beide niet gesynchroniseerd.
Bovendien, in SSO-scenario's kunnen de tijdsverschillen tussen verschillende clients en de SSO-aanbieder zelfs nog groter zijn.
Om de problemen te verminderen en ook rekening te houden met veiligheidsmaatregelen, heeft Logto nu de iat-tolerantie verhoogd van 60 seconden naar 5 minuten voor niet-SSO-authenticaties en 10 minuten voor SSO-scenario's.
Ondertussen kun je controleren of je computertijd is gesynchroniseerd met de wereldtijd door simpelweg deze handige tool website te gebruiken: https://time.is Synchroniseer je tijd handmatig of wijzig naar een andere tijdserver, om ervoor te zorgen dat het tijdsverschil altijd binnen ons tolerantievenster valt.
De "iat" claim in ID-tokens is een cruciaal element voor het verbeteren van de beveiliging van identiteits- en toegangsbeheer in moderne applicaties. Het opnemen van beste praktijken voor het omgaan met de "iat" claim zorgt voor een sterk en veilig identiteitsauthenticatieproces.
Zorg er ook voor dat je computertijd altijd is gesynchroniseerd met de wereldtijdserver.