Как защитить систему при компрометации access/refresh токенов?

Как защитить систему при компрометации access/refresh токенов?

• Контекст: защита аутентификации и токенов доступа
• Access-токены имеют короткий срок действия — обычно от нескольких минут до нескольких часов
• Refresh-токены действуют дольше и предназначены для выпуска новых access-токенов
• ограниченный срок жизни сокращает окно атаки после компрометации
• размещение токенов в HttpOnly cookie или secure storage препятствует XSS
• применение механизма отзыва (revocation) refresh-токенов через черные списки или базы данных
• анализ подозрительной активности по географии, IP и устройствам с последующей аннулизацией токенов
• одноразовые refresh-токены (rotating tokens): после применения прежний токен становится недействительным
• дополнительная защита: MFA, а также токены с ограниченными scope и audience
• Практический смысл — уменьшить ущерб и оперативно перекрыть злоумышленнику доступ

Итак, защита строится на сочетании короткого срока жизни, контроля использования и возможности отозвать скомпрометированные токены.

Подробный ответ

Основной ответ

Если access или refresh токены оказались скомпрометированы, применяют несколько уровней защиты. Они ограничивают возможный ущерб и позволяют быстро отреагировать на инцидент. Основные меры — сократить время действия токенов, выявлять аномальную активность и обеспечить возможность немедленной аннуляции.

Ключевые моменты

• Короткий срок жизни access-токенов — обычно несколько минут — уменьшает период, в течение которого можно использовать украденный токен. Refresh-токены действуют дольше, но проходят многоуровневые проверки и ротируются.
• Безопасное хранение refresh-токенов обычно организуют в HttpOnly Secure-куках, защищающих от XSS-атак. Дополнительно применяют ограничения доступа, например Scope и Audience.
• Механизмы отката и контроля: токены можно отозвать через централизованные сервисы — например, с помощью blacklist или token introspection. Аномалии по IP, user-agent и гео-локации отслеживаются, после чего доступ блокируется, а пользователь получает уведомление.
• Rotation и одноразовость refresh-токенов: при каждом обращении за новым токеном система выдаёт refresh + access токен, а прежний refresh токен делает недействительным. Это не позволяет повторно использовать украденный токен.
• Подпись и шифрование токенов: JWT токены подписываются, например с использованием HS256 или RS256. Благодаря этому можно проверить их подлинность и обнаружить попытки изменения.

Практический контекст

В крупных продуктах, включая OpenID Connect и OAuth 2.0, обычно используют short-lived access tokens (~15 мин) и refresh tokens с rotation'ом. Для учёта отозванных токенов применяют Redis или базу данных. При подозрительной активности также часто включают многофакторную аутентификацию, что дополнительно повышает безопасность после компрометации.