Безопасно ли предоставлять API refreshtoken

В Auth0 создан набор функций, которые снижают риски, связанные с использованием токенов обновления, путем введения гарантий и контроля за их жизненным циклом. Наша платформа идентификации предлагает ротацию токенов обновления, которая также включает автоматическое обнаружение повторного использования.

Пожалуйста, прочтите следующую тему.

Обновление Ротации Токенов

Автоматическое Обнаружение Повторного использования Маркера Обновления

JWT подписывается с использованием предварительно определенного секретного ключа. Поскольку это REST API в бэкэнде и без состояния, jwt используется для авторизации и построения основного объекта

Как вы говорите, маркер доступа представляет собой авторизацию в вашем приложении, если маркер обновления открыт, то маркер обновления может быть представлен злоумышленником для получения маркера доступа, который они могут использовать для той же авторизации.

Использование "предварительного секрета" указывает, что JWT является вариантом JWT только для HMAC, т. Е. Шифрования нет, поскольку это указывает на пару закрытых и открытых ключей, а не на "предварительный секрет". Таким образом, JWT, по сути, является подписью для описания характеристик безопасности, мы обеспечиваем целостность, чтобы требования JWT были четко сформулированы и не были изменены с момента подписания. Это также означает, что для подписи на одном конце используется тот же секрет, что и для проверки на другом конце, должен использоваться тот же секрет, поскольку для проверки подписи требуется, чтобы оба конца генерировали подпись и обе подписи совпадали. Таким образом, никакие данные не шифруются, поэтому данные в JWT не являются конфиденциальными и нуждаются в защите.

Учитывая этот контекст, как токен обновления, так и токен доступа являются простым JWT, который может быть сгенерирован только владельцем секрета - если они раскрыты, их можно использовать для выполнения вредоносных запросов, пока они остаются действительными (nbf претензия).

По сути, этот тип JWT может быть использован неправильно, если он будет выдан за личность, которую представляет секрет, подписанный JWT, без фактического знания самого секрета, пока nbf утверждение истекает срок действия токена - и токен обновления является механизмом для продления nbf заявите, не имея секрета (что приведет к новой подписи, потому что nbf утверждение изменится при использовании).

Существует одна защита от повторного использования маркера доступа, это утверждение nonce. Если вы в настоящее время не используете утверждение nonce, вы можете прочитать о том, как реализован OIDC, и сделать то же самое в своем приложении. Но, как вы сказали, ваше приложение не имеет состояния, но, надеюсь, у бэкенда есть форма состояния, которая гарантирует отсутствие повторного использования и предотвращает повторное использование подписи JWT. Для каждого разового изменения подписи JWT, следовательно, маркер доступа изменяется и может использоваться только 1 раз. Так что в случае кражи это условие гонки, кто первым использует токен, что значительно минимизирует риск, но не является идеальным решением.