Du er her:
Behandle OAuth-tilgangspolicyer for en tilkoblet app: Oppdater policy for tokenutløp
Denne policyen sikrer at et oppdateringstoken er strengt "engangsbruk", som betyr at det blir umiddelbart ugyldig fra det øyeblikket det brukes til å be om et nytt tilgangstoken.
Navn på kontroll
Behandle OAuth-tilgangspolicyer for en tilkoblet app: Oppdater policy for tokenutløp
Anbefalt konfigurasjon
Oppdater tokenpolicy: Oppdateringstoken utløper umiddelbart.
Oversikt over kontroll
Denne policyen sikrer at et oppdateringstoken er strengt "engangsbruk", som betyr at det blir umiddelbart ugyldig fra det øyeblikket det brukes til å be om et nytt tilgangstoken.
Sikkerhetsrisiko hvis ikke konfigurert
Uten umiddelbar utløp forblir et oppdateringstoken gyldig for flere bruk til det når sin tidsbaserte tidsfrist, noe som gir en mulighet for en angriper til å gjenbruke et stjålet token selv etter at den legitime brukeren allerede har oppdatert økten sin.
Trusselscenarier
En angriper fanger opp et gyldig oppdateringstoken fra en nettverksloggfil eller lokal lagring og bruker det til å generere flere tilgangstokener fra en annen enhet før det opprinnelige tokenet ville ha utløpt naturlig.
Beregnet CVSS Score-område
Kritisk (9.0–10.0).
Viktige punkter om risikoinnvirkning
Mislykket utløp av tokener umiddelbart tillater "samtidig øktkapring", der både den legitime brukeren og angriperen kan opprettholde aktiv, uavhengig tilgang til samme konto samtidig.
Høyere risiko når
For offentlige klienter (mobil- eller nettleserapper) som ikke bruker PKCE, fordi det ikke kreves sekundært kryptografisk bevis for å "bruke" det fremdeles gyldige oppdateringstokenet.
Lav risiko når
Oppdateringstokenrotasjon er allerede aktivert fordi rotasjon teknisk sett håndhever umiddelbar utløp av det gamle tokenet som en del av dets standard "swap"-logikk.
Viktige punkter om virksomheten og integrasjonen
Implementering av umiddelbar utløp krever at klientprogrammet har robust feilhåndtering og pålitelig, synkron datalagring for å sikre at det ikke mister det nylig utstedte tokenet under utvekslingen, noe som ville resultere i umiddelbar utestenging av brukeren.
Anbefalt rettelse
Gå til OAuth-policyene i den tilkoblede appen, og angi oppdateringstokenpolicyen til "Utløp oppdateringstoken umiddelbart".
Veiledning for vurdering av sikkerhetstilstand
Sikkerhetstilstandsvurdering identifiserer umiddelbar utløp som en kritisk "anti-replay"-kontroll slik at ethvert kompromittert token har den absolutt korteste mulige verktøyet for en motstander.
