OAuth2 - लंबे समय से एक ग्राहक साख में टोकन बनाम पुन: प्रमाणीकरण रहते थे प्रवाह

Question

हम OAuth2 के साथ हमारे बाकी सर्वर सुरक्षित और है कि हम को नियंत्रित कई ग्राहक क्षुधा के लिए ग्राहक साख अनुदान प्रकार क्रियान्वित किया है। अब हम टोकन लंबे समय तक रहने के निर्णय का सामना कर रहे हैं (यानी वे "कभी नहीं" समाप्त हो जाते हैं या ग्राहकों को पुन: प्रमाणीकृत करें (ताज़ा टोकन समाप्ति के आधार पर)। पहला मतलब है कि एक कैप्चर किए गए टोकन का उपयोग किसी दुर्भावनापूर्ण पार्टी द्वारा किया जा सकता है, दूसरा माध्यम क्लाइंट रहस्य को अक्सर प्रकट करता है जो बदले में टोकन प्राप्त करने के लिए उपयोग किया जा सकता है।

क्लाइंट-सर्वर प्रमाणीकरण के लिए संसाधन-सर्वर में कौन सा सुरक्षित है? यदि हमें चोरी पर संदेह है तो टोकन और क्लाइंट रहस्य दोनों को अमान्य किया जा सकता है। जाहिर है सभी संचार https ..

वर्तमान में हम सोच रहे हैं ग्राहक गोपनीयता टोकन से अधिक शक्तिशाली है और इस तरह एक लंबे रहते थे टोकन इस दो पैरों वाला परिदृश्य के लिए बेहतर होना चाहिए के माध्यम से किया जाता है। (किसी भी तीन-पैर वाले अनुदान प्रकार के लिए जिसे हम जल्द ही कार्यान्वित करेंगे, हम उपयोगकर्ता सत्र के रूप में कार्यरत एक छोटा सा टोकन पसंद करेंगे)।

आपके विचारों के लिए धन्यवाद!

Answer 1

the specification के अनुसार

, ग्राहक साख प्रवाह ही नहीं होने का खतरा नहीं चल रहे हैं ग्राहकों के लिए अनुमति दी है इसके ग्राहक गुप्त चोरी:

ग्राहक साख अनुदान प्रकार केवल द्वारा इस्तेमाल किया जाना चाहिए गोपनीय ग्राहक

तो, यदि आप अविश्वसनीय प्लेटफ़ॉर्म पर किसी एप्लिकेशन के साथ इस प्रवाह का उपयोग कर रहे हैं, तो आपको निश्चित रूप से इस निर्णय पर पुनर्विचार करना चाहिए।

आपके प्लेटफ़ॉर्म पर भरोसा करने की शर्त के साथ, चोरी किए गए क्लाइंट गुप्त के बारे में चिंता करने की आवश्यकता नहीं है। आपका निर्णय उस समय वजन घटता है जब एक हमलावर एक्सेस टोकनपुन: प्रमाणीकरण (केवल one call) के लिए अतिरिक्त ओवरहेड बनाम, लेकिन फिर भी एक छोटी देरी के साथ अतिरिक्त ओवरहेड बनाम समय के साथ खेल सकता है। पुन: प्रमाणीकरण चरण स्वयं आपके क्लाइंट सेक्रेट के संपर्क में एक गैर-मुद्दा है, जब दोनों प्रतिभागी विश्वसनीय हैं और आप एमआईटीएम हमलों के खिलाफ एक अच्छी परिवहन परत सुरक्षा का उपयोग कर रहे हैं।

यह भी ध्यान रखें, कि यह not recommended (और यह भी अनावश्यक) है ताज़ा टोकन का उपयोग करने के लिएग्राहक पहचान के साथ प्रवाह:

एक ताज़ा टोकन नहीं शामिल किया जाना चाहिए।