É seguro para expor refreshtoken API

Em Auth0, Criou um conjunto de características que mitiguem os riscos associados com o uso de atualizar tokens através da imposição de salvaguardas e controles em seu ciclo de vida. A nossa identidade plataforma oferece atualização de rotação de token, o que também vem com sistema automático de reutilização de detecção.

Por favor, leia o seguinte tópico.

Atualização De Rotação De Token

Atualização Token Automático De Detecção De Reutilização

A JWT é assinado usando a chave secreta pré-compartilhada. Desde a sua API REST no backend e sem monitoração de estado, a jwt é usado para autorização e construção de objecto principal

Como você diz, o token de acesso representam a autorização de sua aplicação, se a atualização token é exposto, em seguida, actualizar o token pode ser apresentado por um mau ator para obter um token de acesso que eles podem usar para a mesma autorização.

Usando um 'secreta pré-compartilhada' indica a JWT é um HMAC única variante da JWT, i.e. não há criptografia como a que indicaria privada e a chave pública do par de oposição a um 'secreta pré-compartilhada'. Assim, a JWT é essencialmente uma assinatura para a cumulação de características de segurança estamos garantindo a integridade de que as reivindicações da JWT são bem formados e não foram alteradas desde que assinado. Ele também significa o mesmo segredo utilizado para assinatura em uma extremidade, como foi usado para verificar na outra ponta, o mesmo segredo tem de ser usado porque a verificar uma assinatura requer que ambas as extremidades gerar a assinatura e a assinatura de correspondência. Assim não há dados é criptografado, portanto, não dados a JWT é sensível e precisa ser protegido.

Dado este contexto, tanto a atualização e o token de acesso são um simples JWT, que podem ser gerados somente pelo titular do segredo, se eles são expostos que pode ser usada para fazer pedidos mal intencionados enquanto permanecerem válidos (nbf reivindicamos).

Essencialmente, este tipo de JWT podem ser mal utilizadas se forem expostos a representar a identidade secreta que assinaram a JWT representa, sem realmente saber o segredo em si, até o nbf alegação de expirar o token - e uma atualização token é o mecanismo para estender o nbf reclamar sem ter o segredo (o que resultaria em uma nova assinatura, porque o nbf alegação de alteração, quando usado).

Há uma proteção de token de acesso de reutilização, é o nonce reclamação. Se você não usar um nonce reivindicação que você pode ler sobre como OIDC implementado e fazer ele mesmo em seu aplicativo. Mas, como você diz, o aplicativo é stateless, mas espero que o back-end tem uma forma de estado para garantir que nenhum nonce reutilização e evitar JWT assinatura de reutilização. Para cada nonce a JWT alterações de assinatura, portanto, o token de acesso de alterações e pode ser usado somente 1 vez. Então, se roubado é uma condição de corrida que usa o token de primeira, o que muito minimiza o risco, mas não é uma solução perfeita.