Sie befinden sich hier:
Verwalten von OAuth-Zugriffsrichtlinien für eine verbundene Anwendung: Aktualisierungstoken-Ablaufrichtlinie
Durch diese Richtlinie wird sichergestellt, dass ein Aktualisierungstoken ausschließlich "einmalig" verwendet wird, d. h., es wird sofort ungültig, sobald es zum Anfordern eines neuen Zugriffstokens verwendet wird.
Steuerelementname
Verwalten von OAuth-Zugriffsrichtlinien für eine verbundene Anwendung: Aktualisierungstoken-Ablaufrichtlinie
Empfohlene Konfiguration
Aktualisierungstokenrichtlinie – Verfällt sofort nach Ablauf des Aktualisierungstokens.
Steuerelementübersicht
Durch diese Richtlinie wird sichergestellt, dass ein Aktualisierungstoken ausschließlich "einmalig" verwendet wird, d. h., es wird sofort ungültig, sobald es zum Anfordern eines neuen Zugriffstokens verwendet wird.
Sicherheitsrisiko, wenn nicht konfiguriert
Ohne sofortigen Ablauf bleibt ein Aktualisierungstoken für mehrere Verwendungen gültig, bis die zeitbasierte Frist erreicht ist, sodass ein Angreifer ein Zeitfenster zur Wiederverwendung eines gestohlenen Tokens hat, selbst nachdem der legitime Benutzer seine Sitzung bereits aktualisiert hat.
Bedrohungsszenarien
Ein Angreifer fängt ein gültiges Aktualisierungstoken aus einer Netzwerkprotokolldatei oder einem lokalen Speicher ab und generiert damit mehrere Zugriffstoken von einem anderen Gerät, bevor das ursprüngliche Token auf natürliche Weise abgelaufen wäre.
Geschätzter CVSS-Bewertungsbereich
Kritisch (9.0–10.0).
Überlegungen zu Risikoauswirkungen
Wenn Token nicht sofort ablaufen, ist ein "gleichzeitiges Sitzungs-Hijacking" möglich, bei dem sowohl der legitime Benutzer als auch der Angreifer gleichzeitig aktiven, unabhängigen Zugriff auf denselben Account haben können.
Höheres Risiko, wenn
Für öffentliche Clients (Mobile- oder Browseranwendungen), die PKCE nicht verwenden, da kein sekundärer kryptographischer Nachweis erforderlich ist, um das noch gültige Aktualisierungstoken "wiederzuverwenden".
Geringes Risiko, wenn
Die Aktualisierungstokenrotation ist bereits aktiviert, da die Rotation technisch den sofortigen Ablauf des alten Tokens als Teil seiner standardmäßigen "Swap"-Logik erzwingt.
Überlegungen zu Unternehmen und Integration
Für die Implementierung des sofortigen Ablaufs muss die Client-Anwendung über eine zuverlässige Fehlerbehandlung und eine zuverlässige synchrone Datenspeicherung verfügen, um sicherzustellen, dass das neu ausgestellte Token während des Austauschs nicht verloren geht, was zu einer sofortigen Benutzersperre führen würde.
Empfohlene Sanierung
Wechseln Sie zu den OAuth-Richtlinien der verbundenen Anwendung und legen Sie die Aktualisierungstokenrichtlinie auf "Aktualisierungstoken sofort ablaufen lassen" fest.
Anleitung zur Sicherheitsintegritätsprüfung
Die Sicherheitsintegritätsprüfung identifiziert den sofortigen Ablauf als wichtiges "Anti-Replay"-Steuerelement, damit jedes kompromittierte Token für einen Gegner den kürzestmöglichen Nutzen hat.
