JWT 새로 고침 토큰 여부

Question

하루에 한 번 만료되는 httponly의 직선 jwt에서 새로 고침/무기명 토큰 방식으로 내 인증 전략을 변경하려고했습니다. 그러나 새로 고침 토큰은 새로운 토큰을 만들 수 있으므로 큰 위험을 초래하지 않습니까? 왜 사람들은 이것을 추천합니까? 내가 뭔가 빠졌습니까?

Answer 1

토큰을 가로채는 사람은 누구나 정기적으로 새로 고칠 수 있고 기본적으로 만료되지 않는 토큰처럼 기본적으로 영구적 인 액세스 권한을 가질 수 있기 때문에 신선함을 확보해야하는 유일한 방법은 쓸모가 없습니다.

토큰 새로 고침을 수행 할 때 사용자/패스가 필요하지 않고 이전 토큰이 무효화되면 토큰을 가로채는 사람이 실제 토큰을 무효화하는 동시에 새로운 토큰을 만들 수 있으므로 위험합니다. 따라서 누군가가 귀하의 계좌에 액세스 할 수있을뿐만 아니라 부상 당했다는 모욕을주기 위해 스스로 액세스 할 수 없게됩니다.

새 토큰을받은 후 이전 토큰이 여전히 유효하고 사용자/패스가 필요하지 않은 경우 토큰을 가로채는 사람이 수천 개의 새 토큰을 만들 수 있으며 모든 토큰이 유효하며 모든 토큰이 다음으로 새로 고침 될 수 있습니다. 더 많은 토큰을 얻으십시오. 데이터베이스에 저장되는 경우 서비스 거부 공격의 벡터가 될 수 있습니다. 그것들이 데이터베이스에 저장되어 있지 않다면 그 중 어떤 것이 아직 유통되고 있는지 알 방법이 없으며 그것들을 무효로 할 방법이 없습니다.

새 토큰을 얻기 위해 사용자/패스 또는 다른 자격 증명을 사용해야하는 경우 누출 된 토큰은 토큰 만 사용하여 새로 고칠 수 없으므로 얼마 동안 만 유효하지만 실제 사용자 사용자를 보내야하거나 더 자주 전달해야하므로 자격 증명을 가로채는 데 더 많은 가능성이 있습니다.

위의 모든 접근법은 실제 서비스에서 실제 상황에서 이루어졌습니다.

Answer 2

토큰을 새로 고침하면 새로 만들어지기 때문에 시간이 지나면 이전 토큰이 만료되므로 다른 사람이 토큰을 보유한다고 가정하면 서버가 자동으로 만료되기 때문에 이전 버전은 거의 없거나 그를 사용하지 않아.

Answer 3

액세스 및 OpenID on Oauth2에 설명 된대로 다른 목적이 토큰을 새로 고침 :

• 액세스 토큰 : 보호 된 자원에 임시로 액세스, 매우 짧은 수명, 심지어 하나의 사용 권한을 부여
• 새로 고침 토큰 : 오래 살았던 새로운 토큰을 얻을 수 있도록 보장해야합니다. OAuth2를 인증 흐름

는 성공적인 사용자 인증 후에, 서버는 토큰 엔드 포인트로부터 액세스 & 갱신 토큰을 얻는 제 2 단계에서 사용할 수있는 인증 코드를 제공한다. 리프레시 토큰은 서버 측과 같이 안전하게 저장된다. 클라이언트 에이전트가 액세스 토큰을 사용하여 인증합니다.

액세스 토큰은 exp 시간까지만 유효합니다. 수명이 짧기 때문에 잠재적 인 도난으로 인한 피해가 제한적입니다. 액세스 토큰이 만료 될 때 보안이 손상되지 않은 새로 고침 토큰은 토큰 끝점에서 새로운 단명 액세스 토큰을 얻는 데 사용됩니다.