Alat pengembang · dekoder JWT
Mengapa Token Akses Berumur Pendek Penting: JWT Tidak Dapat Dicabut Setelah Diterbitkan
· Mengapa itu penting
jwt otentikasi keamanan
Token mandiri berlaku hingga habis masa berlakunya, apa pun yang terjadi di antaranya. Postingan ini menjelaskan masalah pencabutan, mitigasi yang tersedia, dan mengapa exp adalah klaim terpenting yang Anda tetapkan.
Logout yang tidak logout — token yang tetap berfungsi setelah sesi berakhir
Keluar dapat menghapus salinan lokal browser sementara token mandiri yang diterbitkan sebelumnya tetap dapat diterima oleh pemverifikasi yang hanya memeriksa tanda tangan dan klaim. Pengalaman pengguna mengatakan “keluar,” namun pemegang lain dapat mempertahankan kredensial kompak yang sama sampai batasan kebijakan menghentikannya.
Ini bukanlah sesuatu yang dapat diselesaikan oleh dekoder. ToolAcre mungkin menampilkan nilai `exp` dan menyebutnya kedaluwarsa relatif terhadap jam browser, namun tidak memiliki penyimpanan sesi, daftar penolakan, atau koneksi penerbit. Perilaku pencabutan merupakan bagian dari arsitektur yang mengeluarkan dan menggunakan kredensial.
Verifikasi tanpa kewarganegaraan dan harganya — tidak ada daftar pusat berarti tidak ada tombol pemutus pusat
Verifikasi tanpa kewarganegaraan memungkinkan server sumber daya mengevaluasi materi dan klaim kriptografi tanpa menanyakan rekaman sesi pusat untuk setiap permintaan. Menghapus pencarian itu juga menghilangkan saklar per sesi alami kecuali mekanisme stateful lain ditambahkan. Perdagangan ini bersifat arsitektural, bukan properti yang terlihat di JSON saja.
Token dapat berisi `jti`, namun pengidentifikasi tidak memiliki efek pencabutan sampai pemverifikasi berkonsultasi dengan penyimpanan atau aturan tepercaya. Demikian pula, tanda tangan dapat tetap valid secara matematis setelah akun dinonaktifkan. Penerimaan aplikasi memerlukan kebijakan saat ini, tidak hanya bukti bahwa beberapa byte historis yang ditandatangani kunci.
Desain kedaluwarsa dan penyegaran dapat membatasi eksposur, tetapi repositori ini tidak menentukan masa pakai standar
Sistem sering kali menggabungkan kredensial akses terbatas dengan mekanisme penyegaran terpisah, namun repositori ini tidak menentukan masa pakai universal atau mengklaim bahwa satu durasi adalah wajar. Risiko, pengalaman pengguna, deteksi, dan kendala infrastruktur berbeda-beda, jadi artikel ini tidak memberikan panduan seumur hidup token.
Prinsipnya lebih sempit: batas kedaluwarsa dapat membatasi berapa lama token akses yang dicuri tetap berguna jika pemverifikasi menerapkan `exp` yang diautentikasi. Pemrosesan penyegaran kemudian dapat berkonsultasi dengan lebih banyak negara bagian sebelum mengeluarkan kredensial lain. ToolAcre hanya menampilkan klaim; ia tidak melakukan penegakan atau penyegaran.
Penolakan oleh jti — memperkenalkan kembali negara untuk kasus-kasus yang memerlukan pencabutan segera
Daftar penolakan yang dikunci oleh `jti` dapat memperkenalkan kembali titik keputusan langsung untuk token yang dipilih. Hal ini memerlukan pengidentifikasi unik, jalur penyisipan tepercaya, ketersediaan penyimpanan, dan kebijakan pencarian verifikator. Hanya mendekode `jti` tidak menunjukkan keunikan atau membuktikan bahwa toko memuatnya.
Status yang sama dapat mendukung pembatalan validasi seluruh akun atau sesi tertentu, bergantung pada desain. Ini juga memulihkan ketergantungan operasional yang dihindari oleh verifikasi tanpa kewarganegaraan. Evaluasi kegagalan, retensi, dan propagasi cache secara eksplisit daripada menampilkan daftar penolakan sebagai pilihan bebas.
Introspeksi dan rotasi kunci — menanyakan penerbitnya, atau membatalkan semuanya sekaligus
Introspeksi meminta otoritas untuk keadaan token saat ini, mengubah penerimaan menjadi keputusan online. Rotasi kunci dapat menghentikan verifikasi pada kunci yang dihapus, namun dapat membuat banyak token menjadi tidak valid sekaligus dan bukan merupakan pengganti yang tepat untuk pencabutan sesi. Mekanisme ini memecahkan berbagai masalah operasional.
ToolAcre tidak mengetahui keadaan mereka saat ini. Penerbit yang didekodekan, pengidentifikasi kunci, atau masa berlakunya dapat membantu menemukan catatan yang relevan, namun panel tidak pernah menghubungi penerbit dan tidak pernah memverifikasi tanda tangan. Gunakan telemetri layanan resmi untuk mengetahui apakah token aktif, dicabut, atau ditolak.
Contoh praktis: hitung interval yang dinyatakan tanpa menilai apakah interval tersebut masuk akal
Untuk contoh terkontrol, kurangi angka `iat` dari `exp` untuk menghitung interval yang diklaim oleh payload. Jika `iat` adalah 1,717,243,200 dan `exp` adalah 1,717,246,800, selisihnya adalah 3,600 detik. ToolAcre juga menampilkan setiap nilai sebagai ISO instan.
Aritmatika tidak menilai interval. Hal ini tidak dapat membuktikan bahwa klaim tersebut dikeluarkan oleh pihak yang diharapkan, dan repositori tidak memberikan rekomendasi seumur hidup. Bandingkan nilai yang diautentikasi dengan kebijakan Anda yang terdokumentasi hanya setelah verifikasi, lalu uji bagaimana status logout dan pencabutan memengaruhi permintaan sebenarnya.
Apa yang tidak tercakup dalam hal ini — penyegaran penyimpanan dan rotasi token, yang merupakan masalah desain mereka sendiri
Penyimpanan token penyegaran, rotasi, dan deteksi pemutaran ulang adalah subjek desain yang terpisah. Token penyegaran mungkin buram, mungkin memiliki penanganan berbeda dan tidak boleh dikirim ke sumber daya API hanya karena token akses ditolak. Dekoder ini secara khusus dibentuk berdasarkan tiga bagian masukan seperti JWS.
Jangan tempelkan kredensial penyegaran ke dalamnya. Jika token penyegaran buram, mungkin tidak ada yang berguna untuk didekode; jika terstruktur, pengungkapan masih menimbulkan risiko kredensial. Diagnosis alur penerbitan menggunakan alat dan log tepercaya dari penyedia.
Kedaluwarsa adalah salah satu faktor di antara verifikasi, status pencabutan, dan desain kredensial
Kedaluwarsa memang berguna, tetapi bukan strategi pencabutan yang lengkap dan bukan keputusan decoder. Sistem konsumsi harus mengautentikasi token, menerapkan kebijakan waktu dan audiens, serta berkonsultasi dengan status pencabutan apa pun yang diperlukan oleh arsitekturnya. Setiap mekanisme memiliki ketersediaan dan konsekuensi operasional.
Gunakan ToolAcre hanya untuk mengamati nilai dalam token aman. Ia dapat menjawab “berapa interval yang diklaim oleh muatan ini?” Ia tidak dapat menjawab “haruskah permintaan ini diterima sekarang?” atau “apakah sesi ini dicabut?” Pertanyaan-pertanyaan itu milik layanan tepercaya.