3

В интернете куча статей про JWT где используется два токена, но ни в одной я не смог найти ответ на свой вопрос.

Где хранить?

У меня есть несколько предположений о том где можно хранить refresh token:

  1. Отдельная запись в базе
  2. Хранить на клиенте
  3. Хранить внутри access токена

Первый вариант не плох,не так сложен в реализации и как мне кажется довольно безопасен, но я не знаю насколько это правильный способ.

Второй вариант подразумевает, что при вводе логина и пароля формируется пара токенов (refresh и access) которые хранятся на клиенте.
Токены сохранятся в cookie или local storage и передаются в теле запроса. Возможно стоит шифровать refresh токен.

Третий вариант видел в статье на Хабре, но уже не могу ее найти. Суть заключается в том что access токен содержит в себе зашифрованный refresh токен.


Что должен содержать?

Если refresh токен будет хранится в базе, то возможно будет достаточно хранить время его жизни и идентификатор который хранить внутри access токена для поиска по нему.

Если токен хранится на клиенте, то так же можно записать в него время жизни, подпись от access токена.

1 ответ 1

3

Логика где-то такая:

AccessToken - имеет малое время жизни, и является многоразовым, его добавляют к каждому последующему запросу

RefreshToken - имеет большое время жизни, и является одноразовым, его используют для обновление пары токенов

Для наглядности приведу несколько ситуаций:

  1. Атакующий заполучил AccessToken, это дает ему возможность использовать сервис, на время жизни этого токена, после истечения которого ему понадобится передать RefreshToken
  2. Атакующий заполучил RefreshToken, если он им воспользуется, то это разлогинит пользователя, и даст возможность атакующему использовать сервис до следующего логина пользователя, так как при этом он сгенерирует новую пару токенов а старые будут невалидны
  3. Атакующий заполучил Логин и пароль, атакующий может использовать сервис, до следующей смены пароля (при условии что для смены пароля требуется старый пароль)

Касательно того где хранить токены:

  1. Если атакующий получает доступ к клиенту, то может перехватить расшифрованный токен/логин+пароль. Поэтому шифрование тут не решит проблеммы также как и отдельное хранение токена

  2. Если атакующий получает доступ к каналу связи, то смотри пункт 1

  3. Хранить один токен внутри другого, в чем профит? Можно тогда вообще использовать только один AccessToken

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.