authentication - 基于 token 的认证的安全性

Question

我对基于 token 的身份验证的理解是，在身份验证(可能通过 ssl)时， token 会传递给用户，以便即时进行廉价的用户验证。一种实现方法是生成传递给用户以进行 session 管理的 cookie。

但是，我的理解是基于 token 的身份验证(至少通过 cookie)很容易受到像 firesheep 这样的中间人攻击。

是否有其他实现方法可以绕过这个主要的安全问题，或者我对 tba 有根本的误解？

Answer 1

你的理解很好。从根本上说，就应用程序如何看待它而言， token 也可能是用户名和密码。如果有人拥有 token ，他们可以对您的应用程序进行身份验证。 http cookie 的主要目的是在有人通过跨站点脚本漏洞 (XSS) 或其他方式获取 cookie 时避免泄露用户名和密码。是的，在适当的情况下，他们可以将这个 token 作为“中间人”“重播”到应用程序，但他们不应该能够从中找出用户名/密码配对，但同样不能保证如果 token 生成算法很弱，例如，如果您决定对连接在一起的用户名和密码进行 BASE64 编码并将其用作值。

通常，您在服务器端保持 token -> 用户映射的安全。因此，最终您的安全性完全基于保持 token 安全并确保其生命周期受到控制(例如，它会过期和/或仅在从与原始凭证提供者使用的 IP 相同的 IP 提供给您时才有效 - 再次，只是一个例子)

希望这可以帮助，

-Oisin