Zanurzmy się w temat i porozmawiajmy o tym, dlaczego rotacja tokena odświeżania jest skutecznym sposobem ochrony bezpieczeństwa twoich tokenów odświeżania.
Token odświeżania to specjalny rodzaj tokena, który jest używany do uzyskania nowego tokena dostępu, gdy obecny token dostępu wygaśnie. Zapoznaj się z naszym wcześniejszym wpisem Zrozumienie tokenów w OIDC, aby dowiedzieć się więcej.
Podczas wprowadzenia wspomnieliśmy również, że w Logto, aby chronić bezpieczeństwo twojego tokena odświeżania, domyślnie wdrożyliśmy mechanizm „rotacji tokena odświeżania”.
Ale czym dokładnie jest „rotacja tokena odświeżania”? Jakie korzyści przynosi naszym użytkownikom końcowym? Zanurzmy się w temat!
Rotacja tokena odświeżania to mechanizm, który unieważnia poprzedni token odświeżania i wydaje nowy, gdy token odświeżania jest używany do uzyskania nowego tokena dostępu. Ten mechanizm zapewnia, że token odświeżania jest odnawiany przed wygaśnięciem.
Tokeny odświeżania mają przedłużony okres życia, zazwyczaj wynoszący tygodnie lub nawet miesiące. A ponieważ możemy uzyskać nowe tokeny dostępu za pomocą tokena odświeżania, token odświeżania staje się także atrakcyjnym celem dla atakujących. Dlatego, zgodnie z OAuth 2.0 BCP, serwer autoryzacji musi podjąć jedną z następujących środków, aby zapobiec takim atakom.
Sec-Token-Binding) w nagłówku żądania odświeżania, w ten sposób wydany token odświeżania jest kryptograficznie powiązany z określonym klientem. Jednak obecnie tylko niektóre natywne aplikacje są z ograniczeniem nadawcy, a większość nowoczesnych SPA i aplikacji mobilnych to aplikacje publiczne.W Logto, gdy użytkownik zostaje pomyślnie zalogowany, najpierw tworzony jest obiekt Grant w bazie danych, a następnie wydany token odświeżania będzie miał odniesienie grantId i wskazuje na pierwszy obiekt Grant.
Za każdym razem, gdy dochodzi do rotacji tokena odświeżania, poprzedni token odświeżania zostanie oznaczony jako zużyty, a serwer autoryzacji Logto wyda nowy token odświeżania z tym samym grantId.
Załóżmy, że poprzedni token odświeżania został ujawniony, wtedy zarówno legalny klient, jak i atakujący mogliby go użyć do wymiany na token dostępu. I bez względu na to, kto to zrobił, ujawniony token odświeżania musiał zostać obrócony i oznaczony jako zużyty. Kto z nich użyje zużytego tokena odświeżania jako drugi, poinformuje serwer autoryzacji o naruszeniu. Serwer autoryzacji cofnie wszystkie tokeny odświeżania z tym samym grantId.
W opisanym powyżej przypadku, po uruchomieniu alarmu, legalny klient może ponownie uwierzytelnić się tylko poprzez ponowne zalogowanie, aby uzyskać nowy token odświeżania. Atakujący natomiast straci kontrolę nad twoim systemem i zostanie zablokowany na zewnątrz.
W Logto, domyślne działanie rotacji tokena odświeżania definiuje:
W konsoli administracyjnej Logto przejdź do Admin Console > Applications i wybierz aplikację, dla której chcesz włączyć/wyłączyć rotację tokena odświeżania. Na stronie szczegółów aplikacji, przejdź do zakładki „Ustawienia zaawansowane” i przewiń na dół, aby znaleźć przełącznik oraz inne przydatne ustawienia.
Jeśli wyłączysz przełącznik, twój token odświeżania nigdy nie zostanie obrócony, dopóki nie wygaśnie. Dlatego gorąco zalecamy zawsze włączanie rotacji tokena odświeżania.
Rotacja tokena odświeżania to najlepsza praktyka, która zapewnia bezpieczeństwo twojego tokena odświeżania w aplikacji. Unieważnia poprzedni token odświeżania i wydaje nowy, gdy token odświeżania jest używany do uzyskania nowego tokena dostępu. Ten mechanizm zmniejsza ryzyko przecieku tokena i zapewnia bezpieczeństwo twojego tokena odświeżania.
Logto stosuje najlepsze praktyki branżowe i zawsze stawia bezpieczeństwo użytkowników jako najwyższy priorytet.
Mam nadzieję, że ten blog dobrze wyjaśnia twoje wątpliwości dotyczące mechanizmu rotacji tokena odświeżania. Daj nam znać, jeśli coś jest nadal niejasne. Twoje opinie i sugestie są zawsze mile widziane!
Wypróbuj Logto już dziś i ciesz się bezpieczniejszym doświadczeniem uwierzytelniania.