4

Правильно ли я понимаю использование jwt в микросервисной архитектуре:

При аутентификации для пользователя создаются Access token и Refresh token. Refresh token хранит id Access token-а. Access token отправляется пользователю в header-e и хранится в WebStorage или Cookies, а Access token сохраняется где-либо(бд или файл). При последующем запросе клиента-пользователя на сервере Access token отправляется на сервер, где проверяется его валидность, затем в случае успеха проверяется время жизни, если что выдается новый Access token.

2
  • 2
    Основное преимущество в использовании jwt - это возможность только один раз авторизовать пользователя и дать ему набор разрешений. Дальше, jwt используется для доступа к другим сервисам, которым нет нужды обращаться к бд или сервису авторизации, т.к. jwt токен уже содержит всю необходимую информацию (в том числе для проверки его достоверности в виде подписи). Commented 20 сент. 2017 в 22:03
  • @VladimirGamalyan, это всего лишь пояснение что такое jwt и что он может, никакого отношения к вопросу не имеет. Интересует схема использования.
    – bsuart
    Commented 21 сент. 2017 в 18:27

2 ответа 2

3
+100

Доброго времени суток.

На сколько я могу судить о JWT, то данный механизм существует "сам по-себе", в отрыве от микро- или макро-сервисной архитектуры, ему (механизму) требуется лишь клиент и сервер.

Если верить сайту jwt.io, то этот процесс представляет собой следующие шаги:

1) Клиент запрашивает авторизацию

2) Сервер создает и возвращает токен

3) Клиент при запросе указывает это токен в заголовке запроса

4) Сервер авторизует клиента по токену и отправляет контент клиенту

Как мне кажется, Ваш алгоритм с двумя токенами в принципе укладывается в вышеописанный процесс.

Лично мне кажетя, что второй токен лишний, можно было обойтись одним. Кроме того, записывать токен в БД не всегда хорошая идея, т.к. будет необходимо выполнять запрос к БД всякий раз при получении токена, даже без полезной назгрузки.

Ниже опишу пример применения JWT в собственных сервисах:

1) Клиент запрашивает авторизацию передавая пользователя и пароль

2) Сервер осуществляет поиск по БД пользователя, проверяет пароль и если всё хорошо, то создает токен путемкодирования идентификатора пользователя по алгоритму SH256 с использованием внутреннего секретного ключа сервера.

3) Токен отправляется клиенту, при это в БД токен НЕ записывается

4) Клиент выполняет запрос к контенту с указанием полученного токена в заголовке запроса

5) Сервер "на-лету" декодирует токен и если получает полезную нагрузку (payload) правильной структуры, то выполняет поиск клиента в БД по идентификатору

6) Если пользователь найден, контент возвращается.

Надеюсь ответил на Ваш вопрос.

6
  • 1
    Если отказаться от refreshToken то придётся заставлять пользователя по истечению времени действия токена каждый раз вводить логин-пароль, это не всегда хорошо
    – Jbyh
    Commented 22 сент. 2017 в 12:07
  • Мне кажется, что любой токен должен иметь время действия и обновляться периодически через ввод пароля. Если этого не делать, то получив один раз чужой токен, можно всегда получить доступ, даже если пароль будет изменен.
    – Nik
    Commented 22 сент. 2017 в 12:50
  • C другой стороны чем чаще отправляешь пароль, тем легче его заполучить... + рефреш токен тоже протухает, у него тоже есть время действия, и при каждом перезапросе получаешь новую пару
    – Jbyh
    Commented 22 сент. 2017 в 13:53
  • По большому счету - это уже особенности конкретной реализации и лежит "за скобками" jwt
    – Nik
    Commented 23 сент. 2017 в 4:51
  • 3
    refreshToken - имеет большой TTL и одноразовый, для генерации новой пары(аналог куки). accessToken - имеет маленький TTL и многоразовый, для идентификации (аналог сессии). Если атакующий воспользуется refreshToken, то разлогинит пользователя. И как только пользователь залогинится снова, пара токенов атакующего будет уже невалидна
    – Ninazu
    Commented 18 июл. 2018 в 11:15
0

@Ninazu а если злоумышленник завладеет двумя токенами, то он получит новую пару access и refresh токенов. Если реализована поддержка входа с нескольких устройств, то пара токенов атакующего после логина пользователя останется валидной.

Поддержка входа с нескольких устройств подразумивает одну сессию на одно устройство с механизмом отслеживание и запоминания отпечатка устройства и жизненного цикла самой сессии, следовательно если юзер залогинений в системе, у него есть сессия она живая, даже пускай с нескольких устройств, следовательно несколько живих сессий, с разнимим отпечатками устройств, при опросе юзера сервер сравнивает отпечаток( браузер, ип адрес, модель устройства, вплоть до размера екрана в пикселях и т.д) находит по ид сессию, и если отпечаток совпадает с тем что записаний в сессии + рефреш и аксес токен верние, пользователь получает доступ. При етом если атакующий получает два токена, и попитается пройти проверку, он не пройдет фингерпринт, соответственно получит запрет, и сессия будет удалена, даже допустим что атакующий подделал фигнерпринт устройства, проходит валидацию, в сессии перезаписуется токени, в теории юзер об етом не узнает пока не попробует зайти с того устройства на котором сохраненние били последний раз валидние токени. Но сейчас популярний механизм мониторинга сессий с любого устройства, и соответственно при входе с утройства которие давно не били активни, приходит уведомление пользователю об подозрительной активности.

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.