刷新令牌寬限期的安全隱患
[英]Security implications of refresh token grace period
問題描述
我有一個使用django-oauth-toolkit構建的 OAuth2 服務器，默認情況下，刷新令牌在使用時會立即被撤銷。 這意味着如果客戶端使用刷新令牌請求新的訪問令牌，但由於網絡中斷而沒有收到響應，他們將被迫重新進行身份驗證。
該庫提供設置REFRESH_TOKEN_GRACE_PERIOD_SECONDS ，這是在使用刷新令牌與其撤銷之間等待的時間量。 如果客戶端使用刷新令牌但未收到響應，則原始刷新令牌對於REFRESH_TOKEN_GRACE_PERIOD_SECONDS仍然有效，這允許客戶端無需重新驗證即可獲得新的訪問令牌。
據我所知，使用時立即撤銷刷新令牌的目的是防止重放攻擊，但由於此授權服務器專門使用 https，看來這足以防御此類攻擊。
是否存在因刷新令牌撤銷的寬限期而導致的其他漏洞？ 從不撤銷刷新令牌會有什么影響？
1 個解決方案
解決方案1
1 2021-03-04 20:56:08
RFC 7009 https://tools.ietf.org/html/rfc7009#section-5中提到了安全注意事項
如果 TLS (HTTPS) 配置/管理不正確（不安全的 TLS 版本、密碼、中間人、證書過期、證書頒發機構問題……），您也可能會受到攻擊。
您的服務器上的資源耗盡可能存在問題。 刷新令牌需要一些資源 - 例如 memory，數據庫記錄，...
何時在 DRF 中的 jwt 中調用 gettoken、刷新令牌和驗證令牌？
[英]When to call gettoken, refresh token and verify token by user in jwt in DRF?
聲明:本站的技術帖子網頁，遵循CC BY-SA 4.0協議，如果您需要轉載，請注明本站網址或者原文地址。任何問題請咨詢:yoyou2525@163.com.