HTT:停止使用JSON Web代幣進行身份驗證？_COOKIE FINANCE

“由于可擴展性，JWTokens是被推薦的認證方法。”

“JWTokens更易于使用。”

“JWToken是無狀態的，所以我們不需要使用服務器上的內存。”

我確信他們的意圖是好的，但是他們共享了一種不安全的用戶身份認證和授權用戶的方式，至少對于web應用程序是這樣的。

我們當然可以安全地使用JWT代幣，但是，我們可能不應該從頭實現它們，因為廣泛地保護它們會變得很復雜。

讓我們看一下使用JWT對用戶進行身份驗證的流程。

用戶輸入他們的用戶名和密碼——當用戶單擊登錄按鈕時，將向服務器發送一個請求，用數據庫驗證用戶的憑據。

服務器成功地驗證了用戶的身份——服務器現在使用一個密碼創建并簽署一個JWT，并在響應中返回它。

教程通常將到期時間設置為一周到30天。

客戶端在響應中接收JWT——開發人員(在像chrome這樣的客戶端中)接收它，應用一些邏輯，然后存儲它，通常是在本地存儲。

客戶端使用存儲在代幣中的信息來有條件地渲染——通常，教程使用像用戶的電子郵件、用戶名和布爾字段，如isAdmin。

客戶端將代幣添加為每個請求的標頭——如果代幣存在于本地存儲中，則用戶的會話是活動的。

服務器現在可以通過解密每個請求的簽名代幣來檢查用戶的身份。

代幣將一直有效到到期。

鏈上數據顯示，FTX似乎已停止處理提款:金色財經報道，根據鏈上數據顯示，加密貨幣交易所FTX似乎已經停止處理客戶的提款請求。以太坊區塊鏈上FTX的最后一筆交易發生在18:37。但目前還有人在排隊等待他們的取款。FTX在Tron和Solana區塊鏈的地址也有類似的情況。[2022/11/8 12:33:44]

以這種方式使用JWT的所有問題。

響應包含JWT。

我們遇到的第一個危險信號是在響應中返回代幣。因此，前端代碼可以自由地讀取和存儲代幣。

訪問代幣會使跨站點腳本攻擊能夠竊取用戶的身份并代表他們發送請求。因為我們沒有關于用戶的會話信息，所以可能沒有辦法知道。

JWT在到期之前一直有效。

由于JWT認證是無狀態的，一旦服務器簽署了有效的代幣，就沒有辦法撤銷用戶的會話。

因此，使用長到期窗口+不安全存儲是黑客對我們的用戶造成嚴重損害的完美組合。

撤銷它們的唯一方法是更改簽名密鑰，這實際上將注銷我們的整個用戶群，因為所有代幣都將呈現為無效。

從長遠來看，本地存儲不安全。

在本地存儲中長時間存儲內容是不安全的，因為任何人都可以在瀏覽器中訪問它。

跨站點腳本可以從本地存儲中檢索代幣，因為它沒有加密或保護。

信息可能不同步。

這個問題不像其他問題那么嚴重。

存儲像isAdmin、用戶地址等字段可能本身并不安全，但這里有一個問題。

由于代幣是無狀態的，因此當信息發生變化時無法更新它們。因此，用戶的用戶名、電子郵件或權限可能與數據庫中的實際值不同步。

江卓爾：B.TOP 停止中國大陸境內客戶礦機代購服務:萊比特礦池（B.TOP）創始人江卓爾今日凌晨在微博發文稱：

1、雖然 B.TOP 未收到相關部門的監管要求，但考慮到最新監管精神，以及 B.TOP 中國大陸境內業務僅占自營挖礦的較小份額，沒有必要繼續對中國大陸境內公眾提供礦機代購服務，并為此承擔額外的監管風險，因此 B.TOP 決定停止為中國大陸境內客戶提供礦機代購服務。

2、對已代購付款，未運行礦機，可選擇全額退款，請聯系您的對接商務處理。

3、對已運行礦機，雖然此情況屬于合同免責條款中的不可抗力 “政府干預、限制、禁令”，但B.TOP 負有維護客戶利益的責任，B.TOP 將出臺措施，確保客戶不發生虧損。[2021/5/22 22:31:46]

允許跨域請求。

使用JWT，任何擁有代幣的人都可以發送有效的請求。

惡意網站可以從虛假域名向我們的網站發送請求，瀏覽器將允許它。

我們可以通過使用CORS來降低這種風險。

這些代幣對于驗證web應用程序來說并不安全，但這并不意味著它們是無用的。相反，有幾個用例可以很好地處理這些代幣。

使用JWT時：

到期窗口很小。(2小時)

請求不涉及將代幣存儲在瀏覽器中。

請求不需要加密。

一個真實的例子用例

最好的例子是控制對資源(如文件下載)的訪問。

假設我們的用戶一個月前購買了一款虛擬產品，想再次下載它。

動態 | 德克薩斯州監管機構向加密公司發出停止和終止令:德克薩斯州證券委員會已采取緊急行動，阻止加密相關公司非法在該州投資。代幣發行和挖礦公司是證券委員會針對銷售欺詐性“加密貨幣相關投資”的目標之一。[2018/7/16]

我們會有一個開放的鏈接，使任何人都可以用來下載我們的虛擬產品嗎?

JWT代幣非常有用，因為我們可以創建短期訪問代幣來驗證用戶的身份，并臨時授予對購買內容的訪問權。

代幣不會存儲在任何地方，而且它會很快過期。因此，它允許我們輕松地處理可驗證的交易。

如果我們曾經將第三方登錄與谷歌或其他提供商集成過，那么這就是使用JWT的一個很好的例子。

有狀態會話意味著服務器將用戶的會話存儲在內存或數據庫中。

盡管這需要進行一些權衡，但在實現時，它消除了前一種方法的大部分問題和安全問題。

然而，它確實帶來了一些其他的挑戰。這取決于我們的項目需求。

我們可以跟蹤用戶的會話活動(更容易)

使用有狀態會話，我們可以存儲有用的信息，如用戶的IP地址、會話持續時間、上次請求的時間戳，并查看每個用戶有多少活動會話。

服務器可以根據需要撤銷會話。

在觸發警告時(假設用戶有三個來自不同國家的活動會話)，會話可以按需撤銷，以防止被盜代幣被使用——無需每30分鐘等待一次到期。

HTTP-Only cookie更安全

沒有方法可以100%安全抵御所有攻擊。

佛蒙特州的監管機構對一起ICO發出停止令:據coindesk消息，一家正在進行初次代幣發行（ICO）的公司LevelNet已經收到美國佛蒙特州的勒令停止的通知。根據佛蒙特州金融監管部門官方網站的說法，這家總部位于加州歐文市的公司“違反了佛蒙特州統一證券法”，因此被勒令停止銷售與它的網絡安全相關平臺的代幣。截至目前，LevelNet網站已經籌集了75.2萬美元。[2018/6/5]

我們必須將有狀態會話代幣(如UUID字符串)存儲在HTTP-Only cookie中。

一個HTTP-Only cookie意味著cookie被自動附加到每個客戶端請求，沒有人可以訪問瀏覽器中的代幣，甚至我們自己也不行!

HTTP-Only Cookies默認情況下阻止跨站點請求

HTTP-Only cookie應該對跨站點請求有嚴格的設置。默認情況下，如果請求來自第三方域名，cookie將不起作用。

稍后我們將深入探討這個問題。

會話在加密方面并不昂貴。

我們不必驗證經過簽名的JWT會話，因為代幣可以映射到用戶id，并存儲在基于內存的數據庫(如Redis)中，以便進行快速的訪問和讀取操作。

通常，無狀態是首選的方法，因為它允許服務在沒有任何依賴關系的情況下大量運行(狀態)。

使用有狀態會話確實給我們帶來了一個潛在的新挑戰。

CSRF攻擊

使用cookie時，我們需要注意跨站點請求偽造攻擊。

辟謠，幣安5月1號停止服務純屬謠言:目前網上傳播消息稱幣安將于5月1日停止服務，金色財經向幣安求證后得知此消息純屬謠言，請廣大投資者注意別被謠言所欺騙。[2018/4/4]

當將代幣存儲在本地存儲時，這種類型的攻擊是不可能的。然而，有兩種主要的方法可以防止這種情況。

Cookie設置

在生產環境中，我們應該設置HTTP-only，并將Secure標志設置為true（如果請求不是 HTTPS，瀏覽器不會放置 cookie）。

對于CSRF攻擊，應該將Same-Site標志設置為“strict”。

將此標志設置為strict可以確保只允許來自與服務器相同域的請求。

例如，如果第三方網站試圖在CSRF攻擊中使用用戶的會話執行請求，則不會設置 auth cookie，因為攻擊者的域與您的域不匹配。

Anti-CSRF 代幣

要確保我們的API只使用Post Requests執行更改。

GET請求應該只檢索數據。

這些類型的攻擊欺騙用戶點擊鏈接，然后該鏈接使用用戶的活動會話嵌入一個請求表單來更改用戶數據，而不訪問實際的身份驗證代幣。

使用Anti-CSRF代幣可以確保服務器可以驗證客戶端發送的POST請求來自實際的網站。

服務器檢查接收到的代幣是否與最初發送給客戶端的代幣匹配。

可擴展性

JWT教程喜歡談論他們的 Todo List React App需要如何擴展以服務于數百萬活躍用戶。

雖然這是一個合理的問題，也是一個不可思議的未來問題，但將可擴展性置于安全性之上是不好的。

只解決應用程序的即時需求，而可擴展性可能不是其中之一。一臺服務器可以服務成百上千的用戶。

在本文結束時，我不能不提到可擴展性可能成為服務器端會話的一個問題。

如果可擴展性是應用程序的一個關注點，其實不必擔心：我們很快就會修好。

需要注意的是，使用集群會產生額外的成本，但根據工作負載，這些成本不應該太高。一定要使用Redis的AWS計算器來進行估算，并決定服務器端會話對我們的項目來說是否是個好主意。

使我們的有狀態會話處于“無狀態”

如果應用程序不需要在其運行的同一個實例中存儲任何狀態，那么它就是無狀態的。

如果數據庫與應用程序運行在相同的服務器實例中，那么它就不是無狀態的。

但是，如果我們獨立于服務器實例運行數據庫，則服務器是無狀態的，因為它的唯一目的是處理業務邏輯。

存儲數據是數據庫關心的問題。

將會話存儲在基于內存的數據庫中

我們的服務器應該為每一個經過身份驗證的請求要求會話數據。出于這個原因，我們想要優化讀和寫的操作。

使用我們的常規SQL或NoSQL數據庫將非常費力，并可能導致高成本和速度放緩。

使用Redis

Redis是一個內存(鍵，值)對數據庫，允許快速讀寫訪問。

例如，AWS提供Redis集群，確保我們的操作通過自動擴展組保持可擴展性。

最后，讓我們回顧一下使用有狀態會話的工作流程，就像不久前使用JWT時一樣。

用戶輸入他們的用戶名和密碼。

當用戶單擊登錄按鈕時，向服務器發送一個請求，使用數據庫驗證用戶的憑據。

服務器認證用戶成功。

服務器創建一個代幣(UUID)，將其映射到用戶的數據庫ID，并將其存儲在Redis中。

服務器將Cookie附加到發送給瀏覽器的HTTP響應上。

客戶端檢查代幣是否有效。

僅僅在標頭中有一個HTTP-Only cookie并不意味著會話是處于活動狀態。

瀏覽器向處理用戶會話數據的服務器端點發送一個GET請求。因為Cookie向服務器提供了這個信息，所以這個請求不需要參數。

前端現在可以在應用程序中存儲會話數據，而無需保留實際的代幣。

客戶端使用存儲在代幣中的信息有條件地渲染

通常，教程使用像用戶的電子郵件，用戶名等字段。這一次，信息通常是最新的，因為客戶每次刷新網站時，信息都會更新。

HTTP-Only Cookie在每次請求時會自動發送

代幣將一直有效到到期。但是，服務器可以根據需要撤銷它。

我們應該知道，沒有什么解決方案是萬全之策，總會有權衡，也沒有一種方法是100%安全的。漏洞總是存在的。但是，我們應該確保為我們的方法提供最好的安全性。

本文介紹了JWT及其作為web認證解決方案的缺點。然后我們找到了一種更好的(安全的)方法來實現我們的web應用程序的認證。

不過，我展示了一個使用有狀態會話的簡單實現。我們可能會想，到期怎么辦?即使是一個星期也可能是一個很長的期限。

刷新代幣

刷新代幣并不是為了讓事情變得簡單，但是這里有一個大概的想法。

我們有兩個代幣:驗證代幣(用于驗證我們的身份)和刷新代幣。

身份驗證代幣可以是短暫的，例如，1-2天。當用戶正在積極地使用他們的會話時，瀏覽器將不斷地檢查，以查看認證代幣是否即將到期。當它檢測到這一點時，它使用具有較長的到期時間的刷新代幣，在前一個認證代幣過期之前請求一個新的身份驗證代幣。

Long-Lived刷新代幣引入了新的問題和復雜性，比如代幣輪換和代幣重用檢查。

如果我們仍然想使用無狀態會話，有些白費力氣

像AWS Cognito或Firebase這樣的庫使用無狀態代幣，并將它們存儲在本地存儲中。

如果我們仍然希望使用無狀態會話，請確保使用經過良好測試的、功能完整的庫來為我們處理安全性。

這些庫使用短期代幣，不斷刷新它們，并提供代幣刷新輪換，以防止安全問題。

Source：https://medium.com/better-programming/stop-using-json-web-代幣s-for-authentication-use-stateful-sessions-instead-c0a803931a5d

Tags：COOKOOKICOOKIEHTTCOOK幣OOKI價格COOKIE FINANCEhtt幣被騙

比特幣價格今日行情