มันปลอดภัยที่จะเปิดเผย refreshtoken รูปแบบ api

ตอน Auth0,สร้างการตั้งค่าของคุณสมบัติต่างๆที่กลบเกลื่อนที่ความเสี่ยงที่เกี่ยวข้องกับการใช้สัญลักษณ์ปรับปรุงโดย imposing หลักประกันและควบคุมพวกเขา lifecycle. ของเราตัวตนแพลตฟอร์มข้อเสนอปรับปรุงรับตั๋วตัวการหมุนซึ่งก็มาพร้อมกับอัตโนมัติ reuse การตรวจสอบ

ได้โปรดอ่านคอยตามเรื่อง

ปรับปรุงรับตั๋วตัวการหมุน

ปรับปรุงสัญลักษณ์อัตโนมัติ Reuse การตรวจสอบ

ที่ JWT คือเซ็นใช้ preshared ความลับกุญแจ ตั้งแต่มันเป็นที่เหลือรูปแบบ api อยู่ในที่ปรับแต่งโปรแกรมเบื้องหลังและ stateless,jwt จะถูกใช้สำหรับการตรวจสอบสิทธิ์และสร้างครูใหญ่วัตถุ

อย่างที่คุณพูดว่าการเข้าใช้ตั๋วเข้าใช้งานเป็นตัวแทนของ authorisation ในโปรแกรมของคุณถ้าปรับปรุงรับตั๋วเข้าใช้งานถูกเปิดเผยออกมาแล้วก็ปรับปรุงรับตั๋วเข้าใช้งานได้ถูกเสนอโดยไม่ดีนักแสดงเพื่อรับทุนการระลึกพวกเขาสามารถใช้สำหรับเดียวกัน authorisation.

ใช้'preshared นความลับเพแสดงให้เห็นว่า JWT เป็น HMAC เดียวที่ผังย่อยของ JWT,i.e. ไม่มีการเข้ารหัสที่นั่นจะบ่งชี้ถึงส่วนตัวและกุญแจสาธารณะคู่ต่างกัน preshared ความลับ'. ดังนั้น JWT คือพื้นฐานแล้วเป็นลายเซ็นสำหรับ puposes นรักษาความปลอดภัยที่มีลักษณะเรา ensuring ความซื่อตร งนั้นที่ว่างของ JWT เป็นได้ก่อตั้งขึ้นและไม่ถูกเปลี่ยนแปลงตั้งแต่ลงนามของท่านไว้แล้ว มันก็หมายความว่าเดียวกับความลับสำหรับใช้เซ็นหนึ่งจุดจบที่ถูกใช้เพื่อตรวจสอบกับจุดจบเหมือนกันความลับจะต้องเป็นเคยเพราะว่าตรวจสอบการเป็นลายเซ็นต้องการมันทั้งสองจบการสร้างลายเซ็นต์และทั้งสองขอลายเซ็นตรงกัน ดังนั้นจึงไม่มีข้อมูลที่ถูกเข้ารหัสดังนั้นไม่ใช่ข้อมูลใน JWT เป็นอ่อนไหนและต้องได้รับการคุ้มครอง

ข้อคอนเท็กซ์ทั้งสองคนและปรับปรุงใช้งานระลึกเป็นแบบ JWT ที่สามารถจะถูกสร้างขึ้นโดยบังของความลับ-ถ้าพวกเขาเปิดเผยพวกเขาสามารถใช้เพื่อทำให้คิดร้ายขอร้องให้นานเท่าที่พวกเขายังคงใช้ได้(nbf สิทธิ์).

โดยพื้นฐานนี้ประเภทของ JWT สามารถเป็น misused หากเปิดเผยให้เล่นละครสวมรอยเป็นตัวตนความลับที่เซ็น JWT เป็นตัวแทน,นราบรื่นดีโดยที่ไม่ได้รู้ความลับตัวมันเองจนกระทั่ง nbf อ้างว่าจะหมดอายุบตั๋วเข้าใช้งานและปรับปรุงรับตั๋วเข้าใช้งานเป็นกลไกของมันจะขยายอายุของ nbf อ้างว่าไม่มีความลับ(ซึ่งจะถูกลายเซ็นต์ใหม่เพราะ nbf อ้างว่ามันจะเปลี่ยนไปตอนที่เคย).

นั่นเป็นหนึ่งในการคุ้มครองจากการเข้าถึงระลึก reuse มันเป็น nonce ล่าวอ้าง ถ้าคุณไม่อยู่ในปัจจุบันใช้กา nonce อ้างว่าคุณสามารถอ่านเกี่ยวกับวิธี OIDC ต้องการจัดเตรียมไว้แล้วทำอย่างเขาคนเดียวกันในของแอพ แต่อย่างที่คุณพูดของคุณโปรแกรคือ stateless แต่หวังว่างปรับแต่งโปรแกรมเบื้องหลัมีรูปแบบของรัฐเพื่อให้แน่ใจว่าไม่มี nonce reuse และป้องกัน JWT ลายเซ็น reuse. สำหรับทุก nonce ที่ JWT ลายเซ็นต์เปลี่ยนแปลงเพราะฉะนั้นที่เข้าถึงระลึกเปลี่ยนแปลงและสามารถใช้เพียง 1 กับผู้ชายคนหนึ่ง ดังนั้นถ้าขโมยมันคือการแข่งขันสภาพที่ใช้บตั๋วเข้าใช้งานก่อนซึ่ง greatly minimises ความเสี่ยงแต่ไม่ใช่ตอบที่สมบูรณ์แบบ.