Olet tässä:
Yhdistetyn sovelluksen OAuth-käyttöoikeuskäytäntöjen hallinta: Päivitä valtuuden vanhenemiskäytäntö
Tämä käytäntö varmistaa, että päivitysvaltuus on täysin ”kertakäyttöinen”, eli se mitätöidään välittömästi, kun sitä käytetään uuden käyttöoikeusvaltuuden pyytämiseen.
Ohjaimen nimi
Yhdistetyn sovelluksen OAuth-käyttöoikeuskäytäntöjen hallinta: Päivitä valtuuden vanhenemiskäytäntö
Suositeltu kokoonpano
Päivitysvaltuuden käytäntö - Päivitä valtuus välittömästi.
Ohjauksen yleiskatsaus
Tämä käytäntö varmistaa, että päivitysvaltuus on täysin ”kertakäyttöinen”, eli se mitätöidään välittömästi, kun sitä käytetään uuden käyttöoikeusvaltuuden pyytämiseen.
Tietoturvariski, jos ei määritetty
Ilman välitöntä vanhentumista päivitysvaltuus on voimassa useissa käyttötarkoituksissa, kunnes se saavuttaa aikaan perustuvan määräajan, jolloin hyökkääjä voi käyttää varastettua valtuutta uudelleen, vaikka hän olisi jo päivittänyt istuntonsa.
Uhkien skenaariot
Hyökkääjä kaappaa kelvollisen päivitysvaltuuden verkkolokitiedostosta tai paikallisesta tallennustilasta ja käyttää sitä luodakseen useita käyttöoikeusvaltuuksia toiselta laitteelta ennen kuin alkuperäinen valtuus olisi vanhentunut luonnollisesti.
Arvioitu CVSS-pistealue
Kriittinen (9.0–10.0).
Riskien vaikutuksissa huomioitavia asioita
Jos valtuuksien vanhentaminen ei onnistu välittömästi, voi tapahtua samanaikaista istunnon kaappausta, jossa sekä laillinen käyttäjä että hyökkääjä voivat säilyttää aktiivisen ja itsenäisen käyttöoikeuden samaan tiliin samanaikaisesti.
Korkeampi riski, kun
Julkisille asiakkaille (mobiili- tai selainsovelluksille), jotka eivät käytä PKCE:tä, koska vielä voimassa olevan päivitysvaltuuden "uudelleenkäyttöön" ei vaadita toissijaista kryptografista todistusta.
Matalan riskin milloin
Päivitysvaltuuden kierrättäminen on jo käytössä, koska kierrättäminen pakottaa vanhan valtuuden välittömän vanhenemisen teknisesti osana sen tavallista ”swap”-logiikkaa.
Liiketoiminnassa ja integraatiossa huomioitavia asioita
Välittömän vanhenemisen toteuttaminen vaatii, että asiakassovelluksella on vahva virheiden käsittely ja luotettava, synkronoitu datan tallennus varmistaakseen, että se ei menetä juuri myönnettyä valtuutta vaihdon aikana, mikä johtaisi välittömään käyttäjän lukitsemiseen.
Suositeltu korjaus
Avaa yhdistetyn sovelluksen OAuth-käytännöt ja määritä Päivitysvaltuuden käytäntö -asetukseksi "Vanhentua välittömästi päivitysvaltuus".
Tietoturvan terveystarkastuksen ohjeet
Suojauksen terveystarkastus tunnistaa välittömän vanhenemisen kriittiseksi toistumisen estäväksi ohjaimeksi, jotta kaikilla vaarantuneilla valtuuksilla on mahdollisimman lyhyt käyttötarkoitus vastustajalle.
