Насколько легко(или сложно) будет злоумышленнику похитить access_token из local storage?
C token-based authentication интересная история. Дело в том, что для сервера в этой ситуации, неважно кто пытается получить доступ к защищённым данным, но, если вы отправили токен, значит вы имеете право на получение этих данных.
Достаточно злоумышленнику похитить ваш токен - ваш аккаунт скомпрометирован.
Выбор для хранения токена на клиенте лежит между local storage(session storage) и cookie.
Больше, насколько мне известно, вариантов нет.
И оба эти способа - геморройные(не имеют никакой защиты по дефолту от тех или иных видов атак)
Предположим я залогинился в ваше приложение и получил токент от сервиса авторизации.
Дальше я вижу два варианта:
1) дизайн приложения таков, что вы помещаете токен в local storage(session storage)
2) дизайн приложения таков, что вы помещаете токен в cookie(это не противоречит концепции REST, поскольку cookie - storage mechanism и нет ничего противоречивого в том, чтобы хранить токен в куках)
Осюда два вопроса:
1) как я будучи злоумышленником могу получить доступ к вашему local storage?
2) как я будучи злоумышленником могу получить доступ к вашим cookie?
Просто мне кажется, чтобы понять какие предпринять меры для защиты от всякого рода атак, неплохо было бы понять как их обычно делают и насколько это легко или сложно.
уже читал, хорошая статья, но всё же не до конца раскрывает тему.
Хотелось бы найти статью, которая тупо скажет, сделайте это, затем это, затем то, и всё будет норм, которая покажет всё что нужно, для того чтобы этого было достаточно. Но пока ничего такого(супер конкретного и подробного) не нашёл.
