tại sao không thể lấy cắp mã thông báo truy cập?

Question

Tôi đang tìm hiểu OAuth và tôi có một câu hỏi trong đầu tôi không thể tìm thấy anwser ..

Tôi hiểu mã thông báo yêu cầu cho phép hoặc không phải là ứng dụng sử dụng API. Nhưng khi người dùng nhận được mã thông báo truy cập, điều gì sẽ xảy ra nếu ai đó ăn cắp mã thông báo truy cập của anh ấy?

Hãy tưởng tượng rằng chúng tôi có một cái gì đó giống như http://www.example.com/api/article/1?access_token= ****** ****** access_token

Nếu tôi cho url này để người dùng khác, người kia sẽ có quyền truy cập của tôi và do đó không phải là API được bảo vệ nữa?

Answer 1

Câu trả lời ngắn gọn: Có, đối với OAuth2 - bất kỳ ai có access_token hợp lệ đều có quyền truy cập vào các tài nguyên được chỉ định bởi mã thông báo đó. Trong bao lâu tùy thuộc vào OAuth2 việc triển khai nhà cung cấp.

Long trả lời, về cả OAuth1 và 2:

Khi nói đến OAuth 1một thẻ truy cập là không đủ. Bạn cũng sẽ cần bí mật mã thông báo truy cập và cả khóa người dùng cũng như bí mật. Vẫn giữ bí mật mã thông báo truy cập và giới hạn phạm vi và thời hạn hiệu lực nhưng bạn không thể sử dụng mã thông báo truy cập mà không có bí mật của khách hàng và mã thông báo. OAuth 1 không yêu cầu bạn sử dụng SSL, bởi vì mật mã được xây dựng ngay vào đặc điểm kỹ thuật.

OAuth 2 khác nhau - điều quan trọng hơn là mã thông báo truy cập được giữ bí mật. Do đó, nhà cung cấp API phải đảm bảo rằng mã thông báo truy cập, trong đó trong OAuth2 còn được gọi là mã thông báo Vòng bi, chỉ hợp lệ trong thời gian ngắn nhất có thể. Những thẻ này hoạt động như mật khẩu và nếu kẻ tấn công có thể sử dụng ngay lập tức. Do đó đặc tả OAuth2 (với mã thông báo mang) yêu cầu tất cả các giao tiếp diễn ra trên SSL - vì không có mật mã nào được tích hợp vào đặc tả. Thông thường mã thông báo truy cập có hiệu lực ngắn, có thể được làm mới bằng "mã thông báo làm mới" có giá trị lâu hơn nhưng chỉ được chuyển khi mã thông báo mang đầu tiên được người tiêu dùng nhận và khi mã thông báo của trình tạo được làm mới.