Learn-json-web-tokens: क्यों "एकल उपयोग" MITM को हल कर सकता है?

को निर्मित 12 मार्च 2017 · 5टिप्पणियाँ · स्रोत: dwyl/learn-json-web-tokens

MITM (मैन-इन-द-मिडलअटैक) के बारे में अनुभाग कहता है कि "एक बार उपयोग (एकल उपयोग) टोकन का उपयोग करें (जो लिंक पर क्लिक करने के बाद समाप्त हो जाते हैं)" MITM का एक समाधान है।

मेरा प्रश्न यह है कि यदि टोकन सिर्फ एक बार उपयोग किया जाता है, तो यह कारण होगा कि उपयोगकर्ता को हर बार अनुरोध भेजने के बाद फिर से लॉगिन करना होगा। दूसरी ओर, यदि सर्वर टोकन को नष्ट कर देता है और हर बार नया टोकन लौटाता है, तो नया टोकन अभी भी बिचौलिए द्वारा रोका जा सकता है।

अगर मैं गलत हूं तो कृपया मुझे बताएं, धन्यवाद!

question

स्रोत

NE-SmallTown

सबसे उपयोगी टिप्पणी

@NE-SmallTown तुरंत जवाब न देने के लिए माफ़ी चाहता हूँ।
JWT विनिर्देश में एकल-उपयोग अमान्यता के लिए कोई दावा/तंत्र नहीं है
देखें: http://self-issued.info/docs/draft-ietf-oauth-json-web-token.html#RegisteredClaimName

@jbspeakr में
देखें: https://www.jbspeakr.cc/howto-single-use-jwt/

nelsonic 13 मार्च 2017

👍2

सभी 5 टिप्पणियाँ

@ एनई-स्मॉलटाउन अच्छा सवाल।
एप्लिकेशन सुरक्षा के लिए एकल-उपयोग टोकन का उपयोग करना अच्छा अभ्यास है।
यदि आप इस पैटर्न का उपयोग करना चाहते हैं तो आप एक onPreResponse हुक सेट कर सकते हैं जो प्रत्येक प्रतिक्रिया के लिए स्वचालित रूप से JWT को अपडेट करता है।

आपको जिस प्रश्न का उत्तर देना है वह यह है: आप यह सुनिश्चित करने की योजना कैसे बना रहे हैं कि टोकन _not_ पुन: उपयोग किया जाता है?
आपको पहचानकर्ता को किसी प्रकार के डेटाबेस में संग्रहीत करने की आवश्यकता होगी (_हम आम तौर पर हमारे ऐप्स में इसके लिए redis करते हैं) और जांचें कि टोकन पहले से ही उपयोग किया जा चुका है या नहीं।

nelsonic 12 मार्च 2017

@nelsonic आपके

एक सवाल है।

जैसा कि आप कहते हैं, प्रक्रिया है:

उपयोगकर्ता होम पेज तक पहुंच सकते हैं और हेडर में टोकन भेज सकते हैं (यह मानते हुए कि उन्होंने लॉगिन किया है)

                                       |
                                       |
                                       ↓

सर्वर टोकन प्राप्त और फिर मिल userId टोकन डिकोडिंग द्वारा, और फिर डेटाबेस के लिए जाना (यह मानते हुए मैं बजाय डेटाबेस का उपयोग redis के टोकन लेने के लिए होने वाली संबंधित) userId , और फिर जांचें कि क्या वे == ऑपरेटर का उपयोग करके बराबर हैं। यदि ऐसा है, तो टोकन को नष्ट कर दें और एक नया टोकन जेनरेट करें और इसे डेटाबेस में दबाएं और क्लाइंट को डेटा और प्रतिक्रिया दें।

एक सवाल है, हम जांच करने के लिए सिर्फ == ऑपरेटर का उपयोग करते हैं, लेकिन हम जानते हैं कि टोकन में ही सत्यापन तंत्र है, हम इसका उपयोग नहीं करते हैं ? जैसे:

JWT.require(Algorithm.RSA256((RSAKey) publicKey))
                .withIssuer("auth")
                .withSubject("ne-smalltown")
                .withAudience(userId)
                .withArrayClaim("jwt-role", userRole)
                .build()

अगर मैं गलत हूं, तो क्या आप मुझे बता सकते हैं कि टोकन का उपयोग कैसे और कहां ऊपर की तरह तंत्र को सत्यापित करना है?

आईएमओ, एकमात्र स्थान जहां मैं टोकन का उपयोग कर सकता हूं, तंत्र को सत्यापित करता हूं, जहां मुझे पुराने टोकन का expक्स्प पैरामीटर मिलता है और इसे नए टोकन में डाल दिया जाता है ताकि मैं जांच कर सकूं कि टोकन पुराना है या नहीं, उपयोगकर्ता को पुनः लॉगिन करने के लिए।

                                        |
                                        |
                                        ↓

क्लाइंट नया टोकन प्राप्त करता है और पुराने टोकन को बदलने के लिए इसे localstorage पर धकेलता है। और अगले अनुरोध में, यह इसका उपयोग करेगा।

NE-SmallTown 12 मार्च 2017

@nelsonic हैलो?

NE-SmallTown 13 मार्च 2017

@jbspeakr में
देखें: https://www.jbspeakr.cc/howto-single-use-jwt/

nelsonic 13 मार्च 2017

👍2

@nelsonic पोस्ट साझा करने के लिए धन्यवाद।

पोस्ट कहती है:

सिद्धांत रूप में, यह पासवर्ड-रीसेट टोकन के अलावा उपयोग-मामलों के साथ भी काम करता है जैसे ईमेल सक्रियण, खाता पुष्टि

मैं सहमत हूं कि ये मामले सिंगल-यूज-जेडब्ल्यूटी के लिए उपयुक्त हैं, लेकिन मेरा मामला जेडब्ल्यूटी में उपयोगकर्ता भूमिका की जानकारी शामिल है और भूमिका स्थिर है , इसे पासवर्ड-रीसेट, ईमेल सक्रियण, खाता पुष्टिकरण आदि पसंद नहीं है।

तो, प्रश्न पर वापस, मेरे मामले में, अब मुझे लगता है कि टोकन को सत्यापित करने के लिए अनावश्यक है, बस डेटाबेस के टोकन के साथ == ऑपरेटर का उपयोग करें।

NE-SmallTown 14 मार्च 2017

👍1

क्या यह पृष्ठ उपयोगी था?

0 / 5 - 0 रेटिंग्स

Learn-json-web-tokens: क्यों "एकल उपयोग" MITM को हल कर सकता है?

सबसे उपयोगी टिप्पणी

सभी 5 टिप्पणियाँ

संबंधित मुद्दों