What is the OAuth 2.0 Bearer Token exactly? – Stack Overflow

Аутентификация на основе токенов

Когда вы входите в
веб-приложение, сервер проверяет учетные данные и отправляет зашифрованный
токен в браузер. Браузер сохраняет токен и добавляет его в заголовок авторизации
будущих запросов.

Стандартные реализации
токен-подхода в разы сложнее описанных выше. Например, в
OpenID Connect применяется несколько потоков аутентификации для различных сценариев использования. Чтобы лучше понять, как работают токены, разобьем процесс на четыре части и в качестве примера используем JWT (JSON Web Token) – наиболее широко используемый стандарт.

Зависимости

Мы запускаем приложение как обычное Весенняя загрузка Приложение. Добавьте Spring Web для стандартных API REST и Spring Security для части безопасности — загрузите и распакуйте архив.

Нам также нужно добавить зависимости io.jsonwebtoken JWT . Обратите внимание, что две зависимости JWT скопированы из maven central как зависимости времени выполнения, потому что они не нужны на этапе компиляции, только во время выполнения вашего приложения. Единственная зависимость, которая вам нужна для компиляции, – это jjwt-api .

Интерфейс службы Токенов

Для примера операции с токенами разделены на Служба токенов интерфейс, который выглядит следующим образом:

Пользователь является сущностью в приложении и выглядит так:

Принципал пользователя является Принципалом объект, который будет находиться в контексте безопасности Spring. Принципал – это пользователь, который в данный момент вошел в приложение. Позже мы рассмотрим, как установить его в контексте безопасности Spring .

Пользовательский принцип выглядит так:

Сервер проверяет учетные данные, генерирует токен, подписывает его секретным ключом и отправляет в браузер

При передаче обычно необходимо
использовать шифрование (например, SSL) для защиты канала.

На стороне сервера можно
использовать библиотеку NPM (такую как jsonwebtoken) для
создания токенов:

Сервер отправляет файл cookie браузеру, включая его в заголовок Set-Cookie

В дополнение к этому в
cookie могут храниться такие сведения, как дата истечения срока действия, домен
и возраст. Пример ответа с несколькими заголовками cookie будет выглядеть
следующим образом:

Служба токенов JWT (Реализация)

Нам нужно реализовать два метода: один для генерации токенов и один для анализа токенов. (JWT_SECRET – это строка)

Сохранение токена в хранилище браузера и добавление в запросы с помощью JavaScript

Браузер может хранить
этот маркер в локальном хранилище, хранилище сеансов или в хранилище cookies.
Затем он будет добавлен в заголовок авторизации и отправлен на сторону сервера
для валидации запросов.

Authorization: Bearer <token>

Кроме того, можно использовать
функцию jwt.decode() из библиотеки jsonwebtoken для декодирования токена.

Браузер сохраняет cookie в хранилище и отправляет его с последующими запросами

Найти все сохраненные в браузере файлы cookie можно в хранилище файлов cookie в разделе
приложения с помощью инструментов разработчика (devtools).

При выходе пользователя из системы токен вручную удаляется из хранилища

Мы разобрались, как
работает аутентификация на основе токенов, теперь рассмотрим фичи, плюсы и
минусы этой схемы.

Фильтр аутентификации/Авторизации

В приведенном примере мы расширяем OncePerRequestFilter , цель которого – гарантировать однократное выполнение каждой отправки запроса.

Простая проверка выполняется, если присутствует заголовок “Авторизация” (часто используемый для передачи токенов на предъявителя).

Когда пользователь выйдет из системы, сервер удалит сеанс из базы данных

Как только пользователь
выйдет из системы, у сервера истечет срок действия файла cookie и сеанс в базы данных будет очищен. Браузер делает то же самое, удаляя файл cookie из хранилища.

Мы разобрались, как
работает аутентификация на основе cookie, теперь рассмотрим фичи, плюсы и
минусы этой схемы.

Пример конечной точки

Здесь у нас есть три примера конечных точек:

Cookie-based authentication

Когда вы входите в веб-приложение, браузер получает файл cookie с сервера, сохраняет его и отправляет с каждым
последующим запросом, чтобы сервер мог убедиться, что запросы поступают от одного и того пользователя.

Чтобы лучше понять, как
работают файлы cookie, разобьем этот процесс на 5 частей.

Disadvantage of bearer tokens

The downside to Bearer tokens is that there is nothing preventing other apps from using a Bearer token if it can get access to it. This is a common criticism of OAuth 2.0, although most providers only use Bearer tokens anyway. Under normal circumstances, when applications properly protect the access tokens under their control, this is not a problem, although technically it is less secure.

Oauth 1.0

In OAuth 1, there are two components to the access token, a public and private string. The private string is used when signing the request, and never sent across the wire.

Oauth 2.0: bearer token usage – русские блоги

HTTP/1.1 401 Unauthorized
WWW-Authenticate: Bearer realm="example", error="invalid_token", error_description="The access token expired"

HTTP/1.1 401 Unauthorized
WWW-Authenticate: Bearer realm="example"

HTTP/1.1 200 OK
Content-Type: application/json;charset=UTF-8
Cache-Control: no-store
Pragma: no-cache

{
   "access_token":"mF_9.B5f-4.1JqM",
   "token_type":"Bearer",
   "expires_in":3600,
   "refresh_token":"tGzv3JOkF0XG5Qx2TlKWIA"
}

　　A server that uses cookies to authenticate users can suffer security
   vulnerabilities because some user agents let remote parties issue
   HTTP requests from the user agent (e.g., via HTTP redirects or HTML
   forms).  When issuing those requests, user agents attach cookies even
   if the remote party does not know the contents of the cookies,
   potentially letting the remote party exercise authority at an unwary
   server.

What is bearer token?

Bearer Tokens are the predominant type of access token used with OAuth 2.0. A Bearer Token is an opaque string, not intended to have any meaning to clients using it. Some servers will issue tokens that are a short string of hexadecimal characters, while others may use structured tokens such as JSON Web Token.

What is the oauth 2.0 bearer token exactly?

Authorization: Bearer <access_token>

What is the use of bearer token?

Bearer Token A security token with the property that any party in possession of the token (a “bearer”) can use the token in any way that any other party in possession of it can. Using a bearer token does not require a bearer to prove possession of cryptographic key material (proof-of-possession).

Безопасность

Cookie не имеют надежной защиты от атак, и они в основном уязвимы для атак с использованием межсайтового скриптинга (XSS) и подделки межсайтовых запросов (CSRF).

Генерация токенов

Мы используем Jwts.builder() для создания нашего токена и создания его в виде компактного токена. В примере мы используем его для установки id , sub и администратор утверждает, но вы можете добавлять любые утверждения, какие захотите.

Претензия – это часть информации, которая будет добавлена в тело вашего JWTS. Есть некоторые стандартные утверждения, такие как sub (тема), iss (эмитент), …, которые вы можете посмотреть здесь .

Мы добавляем “Носитель” с пустым пространством в качестве префикса, чтобы указать, что схема аутентификации имеет тип Носитель .

Название “Аутентификация на предъявителя” можно понимать как “предоставление доступа носителю этого токена”.

Это один из моментов, в котором вам нужно будет принять несколько решений:

1. Каково будет время истечения срока действия ваших токенов?

   • Это будет очень сильно зависеть от ваших вариантов использования. Существуют варианты использования для очень больших окон истечения срока действия, таких как 1 неделя, 1 день, 8 часов. Или очень маленькие окна истечения срока действия, такие как 1 час, 30 минут, 10 минут.
   • Для примера достаточно 1 часа.
2. В чем был бы ваш секрет ? — Секрет в том, что будет использоваться для подписи ваших JWTS, чтобы вы могли проверить это позже при разборе. Длина секрета будет зависеть от используемого вами алгоритма подписи, и вы можете сгенерировать какой-нибудь случайный секрет с ее веб-сайта .

3. Какой будет ваша секретная стратегия ? Или как вы собираетесь управлять секретами.

   • Вы можете использовать один секрет и подписывать им все свои JWT. Вы можете иметь секреты для каждого пользователя и хранить их в своей базе данных. Вы можете иметь секреты для каждого токена и хранить их как в токене, так и в базе данных. (Примечание: Одна из идей JWT состоит в том, чтобы не искать в БД для аутентификации пользователей)
   • Возможно, есть и другие стратегии, но я их не видел, поэтому я не перечисляю их здесь.
   • Для примера, использование одного секрета для подписи всех моих JWT – это нормально.

4. Каким был бы ваш алгоритм подписи ? – JWTS используют алгоритм HMAC SHA, который является алгоритмом, используемым для проверки целостности данных (аутентификации данных). Для JWTS стандартно использовать HS256, но вы можете пойти дальше и использовать HS512. Длина вашего секрета зависит от алгоритма HS256 ->256 бит и т.д…

   • Для примера подойдет HS256

Могут возникнуть проблемы с масштабируемостью

Хотя существуют хорошо
зарекомендовавшие себя способы управления масштабируемостью (например,
использование для хранения сеансов СУБД наподобие Redis), это все равно
добавляет сложности. По мере роста количества пользователей, могут возникнуть
проблемы с масштабированием и управлением сеансами.

Не подходит для api

Например, если вы
разрабатываете мобильное приложение, наличие файлов cookie усложнит управление
файлами по сравнению с токеном.

Обычно работают в одном домене

Хотя со стороны это
выглядит как ограничение, но это одна из самых сильных функций для обеспечения
единого источника.

Если ваш фронтенд
и бэкенд лежат в разных доменах или поддоменах, необходимо явно указать это
в файле cookie в белом списке. В противном случае браузер не отправит куки вместе
с запросом.

Передача токенов

При анализе токена вам нужен тот же секрет, что и тот, который вы подписали в JWT во время генерации. В зависимости от того, какую секретную стратегию вы выбрали или бизнес-логику, вам может потребоваться провести здесь некоторую проверку.

Использование Jwts.parser Builder() для анализа токена в объект Jws, где вы можете получить любые утверждения, которые вы вложили в токен. Вы знаете, что они есть, потому что JWT неизменяемы, и если кто-то подделал токен, синтаксический анализ завершится неудачей с исключением недействительной подписи.

Подходит для хранения дополнительных данных

С помощью файлов cookie и
сессий можно хранить дополнительные данные персонализации, контроля доступа и сами сессии – это позволяет использовать их
для последующих запросов.

Это не имеет смысла, если
речь идет об одном запросе, но преимущества становятся заметны, когда все
агрегируется и масштабируется.

Проблемы безопасности

Хотя введением токенов
пытаются решить проблемы безопасности аутентификации на основе cookies, полностью от них не избавиться.

Токен не имеет состояния и если он установлен снаружи, то его невозможно отозвать
до истечения срока жизни. Поэтому важно, чтобы он имел минимальный срок
годности.

Это stateless-механизм

В отличие от cookie-подхода, вариант с токенами не имеет состояния. Это означает, что он не сохраняет никакой
информации о пользователях в базе данных или на сервере. Сервер отвечает только за
создание и проверку токенов, что позволяет реализовывать более масштабируемые
решения.

Это полностью автоматизированный процесс

Если вы используете файлы
cookie для аутентификации, вам не нужно ничего больше разрабатывать для
добавления их в запросы. Браузер позаботится об обработке файлов и
автоматически добавит cookie для всех запросов.

Кроме того, при CSRF-атаке
злодеи могут воспользоваться этим механизмом, чтобы заставить браузер отправить запросы с cookie на мошеннические сайты.

Заключение

Ни один из этих методов
не является на 100% совершенным, и каждый имеет свои недостатки. При
выборе метода аутентификации стоит использовать наиболее соответствующий требованиям проекта и допилить его, а не стремиться к идеалу.

Спасибо за внимание!

***

Дополнительные материалы: