Comparando a autenticação baseada em tokens e a autenticação baseada em sessões
Este post do blog apresenta os conceitos básicos de autenticação baseada em tokens e autenticação baseada em sessões, com seus prós e contras. Isso pode ajudar os leitores a escolherem o esquema de autenticação adequado para sua aplicação.
De modo geral, o primeiro passo no uso de uma aplicação é o login ou autenticação, onde o usuário final fornece suas credenciais de identidade para fazer login com sucesso. Após este passo, o sistema de identidade (ou seja, provedor de identidade, servidor de autenticação, etc.) sabe quem é o usuário e a quais recursos ele tem acesso.
As aplicações costumam fornecer toda a funcionalidade através de muitas APIs. Nas chamadas de API subsequentes, o que acontece se o usuário não conseguir fornecer acessos válidos?
HTTP é sem estado, o que significa que cada solicitação é independente e não contém qualquer informação de contexto relacionada à solicitação anterior. No entanto, exigir que o usuário se reaplique a cada solicitação certamente não é uma boa experiência para o usuário.
Sessões e JSON Web Tokens (JWTs) são dois dos métodos mais comuns usados para manter o estado de autenticação durante várias chamadas. Ambos os métodos têm seus prós e contras, e a escolha de qual método usar depende das necessidades específicas de sua aplicação.
Autenticação baseada em sessão
Na autenticação baseada em sessão, o servidor é responsável por criar e manter o estado de autenticação do usuário e fornecer uma maneira de referenciar esse registro em cada solicitação subsequente.
O processo começa quando o usuário se autentica e fornece algumas credenciais. Se as credenciais forem válidas, o servidor cria um registro persistente representando essa sessão, contendo informações como uma string aleatória, identificador de usuário, hora de início da sessão, hora de expiração da sessão, e assim por diante. Este registro é armazenado na base de dados e devolvido ao agente do usuário (por exemplo, browser) como um cookie.
Cada chamada subsequente envia uma solicitação HTTP do browser contendo o cookie da sessão. O servidor pode usar este cookie para buscar o registro da sessão, verificar sua validade, e tomar decisões de autorização baseadas na identidade do usuário.
Vantagens da autenticação baseada em sessão
Simples e confiável
O registro da sessão fornece uma fonte clara e centralizada, permitindo um alto grau de confiança e tornando as decisões de autorização mais confiáveis.
Revogação em tempo real
Ao eliminar ou invalidar o registro da sessão, o acesso de um usuário pode ser rapidamente revogado.
Desvantagens da autenticação baseada em sessão
Latência
Em larga escala, a autenticação de sessão pode introduzir latência porque requer interação com o banco de dados, o que pode impactar o desempenho da aplicação.
Alto consumo de recursos
Devido à necessidade de armazenar e recuperar um grande número de registros de sessão, a autenticação de sessão pode consumir mais recursos.
Autenticação JWT
Os JSON Web Tokens (JWTs) usam um método diferente para alcançar a autenticação e autorização.
O processo começa com o usuário fornecendo credenciais de autenticação, e o servidor usa estas credenciais para verificar a identidade do usuário. Ao contrário da autenticação de sessão, no entanto, os JWTs usam um objeto JSON para conter todas as informações relevantes e empregam assinaturas ou criptografia para verificar sua integridade e validade.
Um JWT é composto por três partes: um cabeçalho, um payload, e uma assinatura.
O cabeçalho contém informações do algoritmo sobre assinatura e decodificação.
O payload contém reivindicações centrais, como a identidade do usuário, permissões de autorização, e tempo de expiração.
A assinatura usa uma chave para assinar o payload, permitindo a verificação de se a assinatura foi adulterada ou não.
Vantagens dos JWTs
Rápido e eficiente
A natureza autônoma dos JWTs torna a verificação do lado do cliente mais rápida e eficiente, sem a necessidade de interação com o servidor.
Seguro
Os JWTs usam técnicas de assinatura e criptografia, tornando os ataques mais difíceis.
Desvantagens dos JWTs
JWT não é atualizado em tempo real
Uma vez que um JWT é assinado, ele não pode ser revogado ou atualizado, e será considerado válido enquanto a assinatura for válida e não tiver expirado.
Se as permissões de acesso de um usuário mudarem (geralmente degradadas), o usuário ainda terá acesso removido aos recursos até que o JWT expire. Da mesma forma, se um JWT contém informações de autorização baseadas em funções, o novo escopo de autorização não entrará em vigor até que o JWT antigo expire. Em outras palavras, os JWTs não são adequados para revogação em tempo real e os usuários podem definir um tempo de expiração adequado para mitigar este problema.
Dilema de vários dispositivos e revogação
Não é possível validar todos os JWTs emitidos antes do seu vencimento para implementar a revogação do usuário de todos os dispositivos. Embora seja teoricamente possível revogar a chave de assinatura para tornar o JWT inválido, isso invalidaria todos os JWTs que usam essa chave, e o processo de manipulação de chaves de cache tornaria essa abordagem impraticável para operações simples de revogação de usuário.
Sessões ou JWTs?
As sessões e os JWTs são duas abordagens populares para perseverar o contexto de autenticação e autorização em um mundo HTTP sem estado. Embora ambas as abordagens tenham seus prós e contras, elas oferecem diferentes benefícios e inconvenientes.
As sessões fornecem garantias mais fortes para a autorização de solicitações individuais e são mais simples para implementar de forma segura. No entanto, sua dependência da validação do banco de dados do lado do servidor introduz uma sobrecarga de latência, o que pode impactar negativamente a experiência do usuário em aplicações que necessitam de alta rapidez de resposta.
Os JWTs, por outro lado, têm vantagens para autorizações mais rápidas e interoperabilidade com aplicações externas, mas requerem mais esforço do desenvolvedor para tratar das complexidades de segurança. Por exemplo, podemos usar webhooks para notificar aos clientes quando o acesso do usuário é revogado, de modo que os clientes podem limpar o JWT em cache e forçar o usuário a se reautenticar.
Como a autenticação baseada em tokens é mais adequada para escalar com suas desvantagens ainda gerenciáveis, está sendo adotada por cada vez mais aplicações modernas.
Escolhendo um método adequado
O método que você escolhe depende das necessidades específicas de sua aplicação.
Se a sua aplicação lida com dados sensíveis ou requer revogação rápida, a autenticação baseada em sessão pode ser a melhor escolha.
Se a sua aplicação precisa de autorização rápida e eficiente ou requer mais interação entre o cliente e o servidor, a autenticação baseada em tokens pode ser mais adequada.
Logto, que é uma infraestrutura de gerenciamento de acesso de identidade escalável, fornece uma solução de identidade completa tanto em serviço na nuvem como em versão de fonte aberta.