Какой смысл в refresh токене?

Question

[Wentixon]

Никак до конца не пойму, зачем все же нужны refresh токены.

Допустим, злоумышленник украл у нас acess token, который живет очень мало, скажем 15 минут. Ок, ему удастся недолго им попользоваться, а мы имея refresh token получим новый access token. С этим все понятно и логично.

Но что будет, если злоумышленник также украдет refresh token? И здесь я ничего не понимаю. Во-первых, почему если он украл access token, то у него нет возможности украсть и refresh token? Или большинство злоумышленников слишком глупые, увидев access token сразу пускают слюни и забывают, что им на самом деле нужен рефреш?

Если же злоумышленник украдет refresh token, он сможет им также пользоваться до его истечения, постоянно получая новую пару. Все говорят, что при логине пользователя, refresh token злоумышленника станет невалидным. Получается нам надо хранить его где то в хранилище и при каждом новом логине удалять? Ок, тогда как при логине не разлогиниваться на других устройствах, если нам надо удалить все рефреш токены?

Вообщем помогите разобраться с этой абракадаброй ;)

Comments

[Flying]

Вот здесь есть неплохое описание

Answer 1

[Roman K]

Но что будет, если злоумышленник также украдет refresh token?

Не украдёт. JWT может быть не-httpOnly, чтобы его мог читать фронтенд. Следовательно, JWT можно украсть через XSS-дырку. refresh token должен быть всегда httpOnly и читать его может только сервер.

Второй уровень защиты — JWT ставится на .example.com, в то время как refresh токен ставится только на auth.example.com. Таким образом, даже если любой из твоих сервисов (кроме сервиса авторизации) будет скомпрометирован, refresh токен останется защищённым, т.к. не будет доступен никому кроме сервиса авторизации.

Да, это всё подразумевает, что как минимум refresh-токен нужно хранить защищённым от XSS, то есть точно не в localStorage, а в куках или чём-то подобном.

Comments

[Wentixon]

Вопрос в том, если его через сеть перехватят. Вы опять же оптимистично утверждаете, что рефреш токен никогда никто не получит.

Второй уровень защиты — JWT ставится на .example.com, в то время как refresh токен ставится только на auth.example.com

Это вообще не понял. Рефреш токен и так должен взаимодействовать только с сервисом авторизации.

т.к. не будет доступен никому кроме сервиса авторизации

Никому.. кроме хакера?

[Roman K]

Wentixon, через сеть? Очевидно, вам нужно использовать TLS, иначе перехватить можно что угодно.

[Wentixon]

Roman Kitaev, ну допустим, единственный способ украсть аксесс токен через xss, если он лежит в local storage. Но наличие xss это уже совсем другая серьезная проблема, с помощью которой можно не только токен украсть, но и много других неприятных вещей сделать, так что таких дырок быть не должно в принципе.

Тогда приходим опять к тому же, почему тогда не сделать аксесс токен долгоживущим и тщательно оберегать его от хакеров? Тем более говоря о других клиентах, помимо браузера, там вообще нет всего того, что вы написали (xss, cookies)

[Dimonchik]

Wentixon, еще есть бекенд аналитика, токен больше для этого

Answer 2

[uvelichitel]

Access token постоянно гуляет по проводам, перехватить его сравнительно легко и поэтому его часто меняют. Refresh token пересылается существенно реже, вторая линия обороны, глубокий тыл.)) Вот такая простая логика не годится? А так то взламывается всё...

Comments

[hckn]

Это бред, а не логика.

[Nurbol Suleimenov]

Access token постоянно гуляет по проводам, перехватить его сравнительно легко и поэтому его часто меняют.

Конечно бред. Думать о синферах в 2019 году, когда спошь и рядом рекомендуют и местами заставляют работать через https.

Answer 3

[Иван Григорьев]

Вот здесь JavaScript.Ninja подробно всё рассказывает. А конкретно на 13:30 он отвечает на вопрос "Какой смысл в refresh токене?"

Comments

[Wentixon]

Я смотрел это. Он говорит, что при логине токены хакера станут невалидными. Но если пользователь с разных устройств заходит? Я же об этом написал. Мы и наши токены невалидными сделаем.

[Иван Григорьев]

Я для этого храню таблицу deviceId refreshToken. deviceId можно получать через fingerprint