COOK:停止使用JSON Web代幣進行身份驗證？_OOKI

“由于可擴展性，JWTokens是被推薦的認證方法。”

“JWTokens更易于使用。”

“JWToken是無狀態的，所以我們不需要使用服務器上的內存。”

我確信他們的意圖是好的，但是他們共享了一種不安全的用戶身份認證和授權用戶的方式，至少對于web應用程序是這樣的。

我們當然可以安全地使用JWT代幣，但是，我們可能不應該從頭實現它們，因為廣泛地保護它們會變得很復雜。

讓我們看一下使用JWT對用戶進行身份驗證的流程。

用戶輸入他們的用戶名和密碼——當用戶單擊登錄按鈕時，將向服務器發送一個請求，用數據庫驗證用戶的憑據。

服務器成功地驗證了用戶的身份——服務器現在使用一個密碼創建并簽署一個JWT，并在響應中返回它。

教程通常將到期時間設置為一周到30天。

客戶端在響應中接收JWT——開發人員(在像chrome這樣的客戶端中)接收它，應用一些邏輯，然后存儲它，通常是在本地存儲。

客戶端使用存儲在代幣中的信息來有條件地渲染——通常，教程使用像用戶的電子郵件、用戶名和布爾字段，如isAdmin。

客戶端將代幣添加為每個請求的標頭——如果代幣存在于本地存儲中，則用戶的會話是活動的。

服務器現在可以通過解密每個請求的簽名代幣來檢查用戶的身份。

代幣將一直有效到到期。

專家呼吁 Meta 停止向未成年人開放 Horizon Worlds:金色財經報道， 4月14日，數十家倡導組織和兒童安全專家簽署致 Meta 首席執行官扎克伯格的團體信，呼吁 Meta 終止允許未成年人進入其新虛擬現實世界的計劃。專家們認為，未成年人將在虛擬現實應用程序中面臨騷擾和隱私侵犯，該應用程序僅處于早期階段。“Meta 必須等待同行評審，以確定兒童和青少年是安全的。”信中寫道。報道稱，Meta 計劃在未來幾個月內邀請青少年加入其元宇宙應用程序 Horizo??n Worlds。[2023/4/17 14:07:19]

以這種方式使用JWT的所有問題。

響應包含JWT。

我們遇到的第一個危險信號是在響應中返回代幣。因此，前端代碼可以自由地讀取和存儲代幣。

訪問代幣會使跨站點腳本攻擊能夠竊取用戶的身份并代表他們發送請求。因為我們沒有關于用戶的會話信息，所以可能沒有辦法知道。

JWT在到期之前一直有效。

由于JWT認證是無狀態的，一旦服務器簽署了有效的代幣，就沒有辦法撤銷用戶的會話。

因此，使用長到期窗口+不安全存儲是黑客對我們的用戶造成嚴重損害的完美組合。

撤銷它們的唯一方法是更改簽名密鑰，這實際上將注銷我們的整個用戶群，因為所有代幣都將呈現為無效。

從長遠來看，本地存儲不安全。

在本地存儲中長時間存儲內容是不安全的，因為任何人都可以在瀏覽器中訪問它。

跨站點腳本可以從本地存儲中檢索代幣，因為它沒有加密或保護。

信息可能不同步。

這個問題不像其他問題那么嚴重。

受Tierion官方影響 Gate.io停止TNT充值提現和交易服務:12月26日消息，由于Tierion官方將停止TNT代幣的合約轉賬功能，受其影響Gate.io已經無法轉移代幣為用戶提供充值和提現服務，并已停止TNT交易服務。Gate.io將持續跟進后續發展，若官方回復或者對外公布具體方案，Gate.io將第一時間為用戶集中處理補償，如需要每個用戶單獨申請補償，Gate.io屆時將給出詳細的指導方案。[2020/12/26 16:34:04]

存儲像isAdmin、用戶地址等字段可能本身并不安全，但這里有一個問題。

由于代幣是無狀態的，因此當信息發生變化時無法更新它們。因此，用戶的用戶名、電子郵件或權限可能與數據庫中的實際值不同步。

允許跨域請求。

使用JWT，任何擁有代幣的人都可以發送有效的請求。

惡意網站可以從虛假域名向我們的網站發送請求，瀏覽器將允許它。

我們可以通過使用CORS來降低這種風險。

這些代幣對于驗證web應用程序來說并不安全，但這并不意味著它們是無用的。相反，有幾個用例可以很好地處理這些代幣。

使用JWT時：

到期窗口很小。(2小時)

請求不涉及將代幣存儲在瀏覽器中。

請求不需要加密。

一個真實的例子用例

最好的例子是控制對資源(如文件下載)的訪問。

假設我們的用戶一個月前購買了一款虛擬產品，想再次下載它。

加密交易所Xapo將停止為委內瑞拉用戶提供服務:金色財經報道，加密交易所Xapo在發給客戶的電子郵件中表示，決定停止對委內瑞拉用戶的支持，并敦促這些用戶在未來兩個月內提取資金。據悉，Xapo很快將啟動一個受監管的數字銀行平臺，并將替換現有產品。[2020/11/3 11:29:28]

我們會有一個開放的鏈接，使任何人都可以用來下載我們的虛擬產品嗎?

JWT代幣非常有用，因為我們可以創建短期訪問代幣來驗證用戶的身份，并臨時授予對購買內容的訪問權。

代幣不會存儲在任何地方，而且它會很快過期。因此，它允許我們輕松地處理可驗證的交易。

如果我們曾經將第三方登錄與谷歌或其他提供商集成過，那么這就是使用JWT的一個很好的例子。

有狀態會話意味著服務器將用戶的會話存儲在內存或數據庫中。

盡管這需要進行一些權衡，但在實現時，它消除了前一種方法的大部分問題和安全問題。

然而，它確實帶來了一些其他的挑戰。這取決于我們的項目需求。

我們可以跟蹤用戶的會話活動(更容易)

使用有狀態會話，我們可以存儲有用的信息，如用戶的IP地址、會話持續時間、上次請求的時間戳，并查看每個用戶有多少活動會話。

服務器可以根據需要撤銷會話。

在觸發警告時(假設用戶有三個來自不同國家的活動會話)，會話可以按需撤銷，以防止被盜代幣被使用——無需每30分鐘等待一次到期。

HTTP-Only cookie更安全

聲音 | CSW：只有永不停止的程序，才會導致圖靈機無法運行:nChain首席科學家CSW（Craig S Wright）在社交平臺上表示，只有永不停止的程序，才會導致圖靈機無法運行。[2018/10/14]

沒有方法可以100%安全抵御所有攻擊。

我們必須將有狀態會話代幣(如UUID字符串)存儲在HTTP-Only cookie中。

一個HTTP-Only cookie意味著cookie被自動附加到每個客戶端請求，沒有人可以訪問瀏覽器中的代幣，甚至我們自己也不行!

HTTP-Only Cookies默認情況下阻止跨站點請求

HTTP-Only cookie應該對跨站點請求有嚴格的設置。默認情況下，如果請求來自第三方域名，cookie將不起作用。

稍后我們將深入探討這個問題。

會話在加密方面并不昂貴。

我們不必驗證經過簽名的JWT會話，因為代幣可以映射到用戶id，并存儲在基于內存的數據庫(如Redis)中，以便進行快速的訪問和讀取操作。

通常，無狀態是首選的方法，因為它允許服務在沒有任何依賴關系的情況下大量運行(狀態)。

使用有狀態會話確實給我們帶來了一個潛在的新挑戰。

CSRF攻擊

使用cookie時，我們需要注意跨站點請求偽造攻擊。

當將代幣存儲在本地存儲時，這種類型的攻擊是不可能的。然而，有兩種主要的方法可以防止這種情況。

新加坡金管局警告一家首次代幣發行業者在本地停止發行代幣:據新加坡聯合早報消息，新加坡金融管理局警告一家首次代幣發行（ICO）業者在本地停止發行代幣，并且警告八個本地數碼代幣交易所，在未經當局批準前，不可處理有如證券期貨的代幣交易。

金管局發表文告說，它要求一家公司停止發行代幣給本地投資者。經過當局審核，這代幣等于持有公司股權，公司因此觸犯了證券期貨法令。

這家公司已經停止發行代幣，并且采取行動遵守當局條例。公司也將所有的款項歸還給投資者。

此外，金管局也提醒八個交易所，如果在平臺上交易的數碼代幣是證券或期貨，它們得立即停止處理交易，直到獲得當局批準。[2018/5/24]

Cookie設置

在生產環境中，我們應該設置HTTP-only，并將Secure標志設置為true（如果請求不是 HTTPS，瀏覽器不會放置 cookie）。

對于CSRF攻擊，應該將Same-Site標志設置為“strict”。

將此標志設置為strict可以確保只允許來自與服務器相同域的請求。

例如，如果第三方網站試圖在CSRF攻擊中使用用戶的會話執行請求，則不會設置 auth cookie，因為攻擊者的域與您的域不匹配。

Anti-CSRF 代幣

要確保我們的API只使用Post Requests執行更改。

GET請求應該只檢索數據。

這些類型的攻擊欺騙用戶點擊鏈接，然后該鏈接使用用戶的活動會話嵌入一個請求表單來更改用戶數據，而不訪問實際的身份驗證代幣。

使用Anti-CSRF代幣可以確保服務器可以驗證客戶端發送的POST請求來自實際的網站。

服務器檢查接收到的代幣是否與最初發送給客戶端的代幣匹配。

可擴展性

JWT教程喜歡談論他們的 Todo List React App需要如何擴展以服務于數百萬活躍用戶。

雖然這是一個合理的問題，也是一個不可思議的未來問題，但將可擴展性置于安全性之上是不好的。

只解決應用程序的即時需求，而可擴展性可能不是其中之一。一臺服務器可以服務成百上千的用戶。

在本文結束時，我不能不提到可擴展性可能成為服務器端會話的一個問題。

如果可擴展性是應用程序的一個關注點，其實不必擔心：我們很快就會修好。

需要注意的是，使用集群會產生額外的成本，但根據工作負載，這些成本不應該太高。一定要使用Redis的AWS計算器來進行估算，并決定服務器端會話對我們的項目來說是否是個好主意。

使我們的有狀態會話處于“無狀態”

如果應用程序不需要在其運行的同一個實例中存儲任何狀態，那么它就是無狀態的。

如果數據庫與應用程序運行在相同的服務器實例中，那么它就不是無狀態的。

但是，如果我們獨立于服務器實例運行數據庫，則服務器是無狀態的，因為它的唯一目的是處理業務邏輯。

存儲數據是數據庫關心的問題。

將會話存儲在基于內存的數據庫中

我們的服務器應該為每一個經過身份驗證的請求要求會話數據。出于這個原因，我們想要優化讀和寫的操作。

使用我們的常規SQL或NoSQL數據庫將非常費力，并可能導致高成本和速度放緩。

使用Redis

Redis是一個內存(鍵，值)對數據庫，允許快速讀寫訪問。

例如，AWS提供Redis集群，確保我們的操作通過自動擴展組保持可擴展性。

最后，讓我們回顧一下使用有狀態會話的工作流程，就像不久前使用JWT時一樣。

用戶輸入他們的用戶名和密碼。

當用戶單擊登錄按鈕時，向服務器發送一個請求，使用數據庫驗證用戶的憑據。

服務器認證用戶成功。

服務器創建一個代幣(UUID)，將其映射到用戶的數據庫ID，并將其存儲在Redis中。

服務器將Cookie附加到發送給瀏覽器的HTTP響應上。

客戶端檢查代幣是否有效。

僅僅在標頭中有一個HTTP-Only cookie并不意味著會話是處于活動狀態。

瀏覽器向處理用戶會話數據的服務器端點發送一個GET請求。因為Cookie向服務器提供了這個信息，所以這個請求不需要參數。

前端現在可以在應用程序中存儲會話數據，而無需保留實際的代幣。

客戶端使用存儲在代幣中的信息有條件地渲染

通常，教程使用像用戶的電子郵件，用戶名等字段。這一次，信息通常是最新的，因為客戶每次刷新網站時，信息都會更新。

HTTP-Only Cookie在每次請求時會自動發送

代幣將一直有效到到期。但是，服務器可以根據需要撤銷它。

我們應該知道，沒有什么解決方案是萬全之策，總會有權衡，也沒有一種方法是100%安全的。漏洞總是存在的。但是，我們應該確保為我們的方法提供最好的安全性。

本文介紹了JWT及其作為web認證解決方案的缺點。然后我們找到了一種更好的(安全的)方法來實現我們的web應用程序的認證。

不過，我展示了一個使用有狀態會話的簡單實現。我們可能會想，到期怎么辦?即使是一個星期也可能是一個很長的期限。

刷新代幣

刷新代幣并不是為了讓事情變得簡單，但是這里有一個大概的想法。

我們有兩個代幣:驗證代幣(用于驗證我們的身份)和刷新代幣。

身份驗證代幣可以是短暫的，例如，1-2天。當用戶正在積極地使用他們的會話時，瀏覽器將不斷地檢查，以查看認證代幣是否即將到期。當它檢測到這一點時，它使用具有較長的到期時間的刷新代幣，在前一個認證代幣過期之前請求一個新的身份驗證代幣。

Long-Lived刷新代幣引入了新的問題和復雜性，比如代幣輪換和代幣重用檢查。

如果我們仍然想使用無狀態會話，有些白費力氣

像AWS Cognito或Firebase這樣的庫使用無狀態代幣，并將它們存儲在本地存儲中。

如果我們仍然希望使用無狀態會話，請確保使用經過良好測試的、功能完整的庫來為我們處理安全性。

這些庫使用短期代幣，不斷刷新它們，并提供代幣刷新輪換，以防止安全問題。

Source：https://medium.com/better-programming/stop-using-json-web-代幣s-for-authentication-use-stateful-sessions-instead-c0a803931a5d

Tags：COOKOOKICOOKIEHTTcookprotocolOOKI幣COOKIE幣CHTT

AAVE