Obținerea unui jeton

Obținerea unui jeton de reîmprospătare de la OAuth.io prin REST API

De ce OAuth v2 are atât jetoane de acces, cât și reîmprospătare? OAuth 2. Ideea jetoanelor de reîmprospătare este că, dacă un jeton de acces este compromis, deoarece este de scurtă durată, atacatorul are o fereastră limitată în care să abuzeze de el.

Jetoanele de reîmprospătare, dacă sunt compromise, sunt inutile, deoarece atacatorul necesită ID-ul și secretul clientului în plus față de jetonul de reîmprospătare pentru a obține un jeton de acces. Bineînțeles, acest lucru este diferit de implementările în care nu controlați atât autorizarea, cât și serverele de resurse.

La Jetoane, spălătoria auto self-service se extinde în sistem de franciză

Iată un fir bun care vorbește despre utilizările jetoanelor de reîmprospătare: Arhivele OAuth. Un citat din cele de mai sus, care vorbește despre scopurile de securitate ale jetonului de reîmprospătare: Reîmprospătează jetoanele Utilizarea SSL este acum opțională probabil că acest lucru a fost încă dezbătut atunci când a răspuns răspunsul catchdave. De exemplu, jetoanele MAC în curs de dezvoltareoferă posibilitatea de a semna cererea cu o cheie privată, astfel încât SSL să nu fie necesară.

Actualizarea jetoanelor devine astfel foarte importantă, deoarece doriți să aveți jetoane Mac de scurtă durată. Deci, un atacator cu acces la dispozitiv le poate obține. Atunci de ce? Aici, github.

c# - Obținerea unui jeton de reîmprospătare de la alexandrugrivei.ro prin REST API - alexandrugrivei.ro

Acreditările opțiunea contango sunt transmise numai între utilizator și serverul API OAuth și nu sunt cunoscute niciodată de client.

Secretul clientului este transmis doar de la client la serverul API OAuth și nu este cunoscut niciodată de utilizator.

Link-ul către discuție, furnizat de Catchdave, are un alt punct valid original, link mort făcut de Dick Hardt, despre care cred că merită să fie menționat aici în plus față de cele scrise mai sus: revocare: dacă jetonul de acces este autonom, autorizația poate fi revocată prin neemiterea obținerea unui jeton noi jetoane de acces.

O resursă nu trebuie să interogheze serverul de autorizare pentru a vedea dacă simbolul de acces este valid.

Acest lucru simplifică validarea simbolului de acces și facilitează scalarea și acceptarea mai multor servere de autorizare. Există o fereastră de timp când un jeton de acces este obținerea unui jeton, dar autorizarea este revocată. Într-adevăr, în situația în care serverul de resurse și serverul de autorizare este aceeași entitate și în care conexiunea dintre utilizator și oricare dintre aceștia este de obicei la fel de sigură, nu are prea mult sens să păstrăm jetonul de reîmprospătare separat de jetonul de acces.

Deși, așa cum s-a menționat în citat, un alt rol al jetoanelor de reîmprospătare este de a se asigura că obținerea unui jeton de acces poate fi revocat în orice moment de către Utilizator prin intermediul interfeței web din profilurile lor, de exemplupăstrând în același timp sistemul scalabil. În general, jetoanele pot fi fie identificatori aleatori care indică înregistrarea specifică din baza de date a serverului, fie pot conține toate informațiile în sine cu siguranță, aceste informații trebuie semnate, de exemplu, cu MAC.

Cum ar trebui să funcționeze sistemul cu jetoane de acces de lungă durată Serverul permite Clientului să obțină acces la datele Utilizatorului într-un set predefinit de domenii prin emiterea unui token.

Baza de date poate conține cât len obținerea unui jeton x len registered clients x len scopes combination înregistrări. Fiecare solicitare API trebuie apoi să acceseze baza de date. Deși este destul de banal să faci interogări către o astfel de bază de date care efectuează O 1singurul punct de eșec în sine poate avea un impact negativ asupra scalabilității și performanței sistemului.

Cum ar trebui să funcționeze sistemul cu jeton de reîmprospătare de lungă durată și jeton de acces de scurtă durată Aici lansăm două chei: jeton de reîmprospătare aleatorie cu înregistrarea corespunzătoare din baza de date și jeton de acces autosuficient semnat, care conține, printre altele, câmpul de expirare a timpului. Deoarece jetonul de acces este autonom, nu trebuie să accesăm deloc baza de date pentru a-i verifica validitatea.

Tot ce trebuie să facem este să decodăm jetonul și să validăm semnătura și marca de timp. Cu toate acestea, trebuie totuși să păstrăm baza de date cu jetoane de reîmprospătare, dar numărul de solicitări către această bază de date este în obținerea unui jeton definit de durata de viață a jetonului de acces cu cât durata de viață este mai mare, cu atât rata de acces este mai mică. Este evident, totuși, că există o fereastră în care a fost revocat simbolul de reîmprospătare, dar simbolul său de acces poate fi încă valabil.

Complicația logicii Clientului. Aș dori să menționez, de asemenea, că unii furnizori de renume OAuth2, inclusiv github și foursquare adoptă protocolul fără jetoane de reîmprospătare și par mulțumiți de acest lucru.

Mă întreb ce abordare utilizează companiile mai mari precum Facebook și Google. De ce nu putem trimite o cerere câștiguri pentru distribuirea de link- uri pe internet serverul de resurse pentru a nu accepta acces token pentru acest utilizator?

Obținerea unui token vk. Cum se obține access_token VKontakte

De asemenea, sunt corect că nu puteți avea un comportament de reîmprospătare a jetonului atunci când nu aveți secretul clientului cu care să semnați tokenii?

Deci, obținerea unui jeton, nu puteți utiliza token-uri de reîmprospătare de la software pe dispozitive cliemts js, aplicații desktop mobile etc. Prin urmare, singurul mod în care poate verifica dacă un simbol este revocat este lovind baza de date, ceea ce obținerea unui jeton să evite tot acest proces. În ceea ce privește a doua întrebare, nu aveți dreptate. Dacă aveți un jeton de reîmprospătare, puteți solicita noi jetoane de acces.

Gândiți-vă la un scenariu ca acesta. Eliberați utilizatorului un jeton de acces de de secunde și reîmprospătați jetonul mult mai mult ca o zi.

De ce OAuth v2 are atât jetoane de acces, cât și reîmprospătare?

Adresa sa IP nu se schimbă și are o încărcare foarte mică pe serverul dvs. Apreciază cereri de pagină în fiecare minut. Când s-au încheiat cele de secunde pe jetonul de acces, el necesită unul nou cu jetonul de reîmprospătare.

Noi, din partea serverului, îi verificăm istoricul activității și adresa IP, credem că este un om și se comportă el însuși. Îi acordăm un nou jeton de acces pentru a continua să folosească serviciul nostru.

Utilizatorul este un neglijent utilizator. Când hackerul a obținut jetonul de acces și reîmprospătează, el încearcă să-l identifice pe utilizator și să folosească serviciul nostru. Dar după expirarea jetonului de acces pe scurt timp, când hackerul încearcă să reîmprospăteze jetonul de acces, noi, pe server, am observat o schimbare dramatică a IP în istoricul comportamentului utilizatorului hei, acest tip se conectează în SUA și acum reîmprospătează accesul în Polonia după doar s???

Utilizatorul este un rău intenționat utilizator. El este destinat să abuzeze de serviciul nostru apelând de de ori API-ul nostru în fiecare minut folosind un robot. O poate face bine până la de secunde mai târziu, când încearcă să a câștigat destui bani jetonul de acces, i-am observat comportamentul și credem că s-ar putea să nu fie un om. Acest lucru ar putea rupe fluxul automat al robotului său.

Cel puțin îl face să se simtă inconfortabil. Puteți vedea că tokenul de reîmprospătare a acționat perfect atunci când încercăm să ne echilibrăm munca, experiența utilizatorului și riscul potențial al unui token furat.

Câinele de pază din partea serverului poate verifica mai mult decât obținerea unui jeton IP, frecvența apelurilor API pentru a determina dacă utilizatorul va fi un utilizator bun sau nu. Dar acest lucru este scump deoarece trebuie să citiți și să scrieți înregistrări despre utilizator și vă va încetini răspunsul serverului.

1. Ideea
2. Cum se obține access_token Vkontakte. Cum se obține access_token VKontakte Vk token application

Toate aceste caracteristici pot fi implementate doar cu jetonul de acces.