U bent hier:
OAuth-toegangsbeleid beheren voor een verbonden app: Controle over vervalbeleid voor vernieuwingstoken
Dit beleid zorgt ervoor dat een vernieuwingstoken strikt "eenmalig gebruik" is, wat inhoudt dat het onmiddellijk ongeldig wordt op het moment dat het wordt gebruikt om een nieuw toegangstoken aan te vragen.
Controlenaam
OAuth-toegangsbeleid beheren voor een verbonden app: Vervalbeleid vernieuwingstoken
Aanbevolen configuratie
Beleid voor vernieuwingstoken - Verloop vernieuwingstoken onmiddellijk.
Overzicht van besturingselementen
Dit beleid zorgt ervoor dat een vernieuwingstoken strikt "eenmalig gebruik" is, wat inhoudt dat het onmiddellijk ongeldig wordt op het moment dat het wordt gebruikt om een nieuw toegangstoken aan te vragen.
Beveiligingsrisico indien niet geconfigureerd
Zonder onmiddellijk te vervallen blijft een vernieuwingstoken geldig voor meerdere keren gebruik totdat het de op tijd gebaseerde deadline bereikt, waardoor een aanvaller een periode heeft om een gestolen token opnieuw te gebruiken, zelfs nadat de legitieme gebruiker zijn sessie al heeft vernieuwd.
Dreigingsscenario's
Een aanvaller onderschept een geldig vernieuwingstoken uit een netwerklogboekbestand of lokale opslag en gebruikt dit om meerdere toegangstokens te genereren vanaf een ander apparaat voordat het oorspronkelijke token op natuurlijke wijze zou zijn verlopen.
Geschatte CVSS-scorebereik
Kritiek (9,0–10,0).
Overwegingen bij risico-impact
Het niet laten verlopen van tokens maakt onmiddellijk "gelijktijdige sessie-overname" mogelijk, waarbij zowel de legitieme gebruiker als de aanvaller tegelijkertijd actieve, onafhankelijke toegang tot dezelfde account kunnen behouden.
Hoger risico wanneer
Voor openbare clients (mobiele apps of browserapps) die geen PKCE gebruiken, aangezien er geen secundair cryptografisch bewijs vereist is om het nog geldige vernieuwingstoken te "hergebruiken".
Laag risico wanneer
Rotatie van vernieuwingstoken is al ingeschakeld, aangezien rotatie technisch gezien de onmiddellijke vervaldatum van het oude token afdwingt als onderdeel van de standaard "swap"-logica ervan.
Overwegingen bij bedrijf en integratie
De implementatie van onmiddellijk verlopen vereist dat de clienttoepassing robuuste foutafhandeling en betrouwbare, synchrone gegevensopslag heeft om ervoor te zorgen dat het nieuw uitgegeven token niet verloren gaat tijdens de uitwisseling, wat zou resulteren in een onmiddellijke uitsluiting van de gebruiker.
Aanbevolen oplossing
Ga naar het OAuth-beleid van de verbonden app en stel het beleid voor vernieuwingstokens in op "Vernieuwingstoken onmiddellijk laten verlopen".
Begeleiding bij beoordeling van beveiligingstoestand
Beoordeling van beveiligingstoestand identificeert onmiddellijk verlopen als een kritieke "Anti-Replay"-regeling, zodat elk gecompromitteerd token het absoluut kortst mogelijke hulpprogramma voor een tegenstander heeft.
