Aikaleimaustokenit

Aikaleimaustokenit ovat autentikointi- tai valtuutustokenkeja, joiden voimassaolo on sidottu aikaleimaan. Niiden tarkoituksena on todentaa käyttäjän tai palvelun pyyntöjen ajankohta sekä estää vanhentuneiden tai kaappaantuneiden tokenien uusiokäyttö. Yleensä aikaleima on osa tokenin rakennetta ja sitä tarkastellaan palvelinpuolella yhdessä muiden turvallisuusominaisuuksien kanssa.

Rakenteeltaan aikaleimaustokenit ovat usein mittauskelpoisia muotoja, kuten JSON Web Token (JWT), jossa token sisältää iat (issued at) ja exp (expiry) -kentät. Joissakin toteutuksissa käytetään myös nbf (not before) -kenttää tai yksinkertaisia aikaleimaustekosysteemejä, joissa tokenin arvoksi asetetaan voimassaoloaika. Tokenit voidaan allekirjoittaa tai kryptografisesti varmentaa, esimerkiksi HMAC:llä tai digitaalisella allekirjoituksella, jotta muokkaus voidaan havaita.

Käyttökohteita ovat näkyvästi API-todentaminen, palvelujen väliset pyynnöt sekä pienemmissä järjestelmissä että suurissa mikropalveluarkkitehtuureissa. Aikaleimaustokenit auttavat varmistamaan, että jokainen pyyntö on tehty oikeaan aikaan ja kyseinen tilanne on voimassa, mikä tukee myös kuiluhyvityksen ja laskutuksen tarkkuutta.

Varmennuksessa palvelin tarkistaa tokenin iat-, exp- ja tarvittaessa nbf-arvot sekä mahdolliset redis/revocation-listat. Aikakatkaisujen huomioimiseksi käytetään usein rajoitettua kellonnopeutta (clock skew). Suojausnopeus paranee lyhyillä voimassaoloajoilla ja säännöllisellä avainten kierrätyksellä sekä HTTPS:n käytöllä.

Edut ovat parantunut suojaus replays-aly, yksinkertainen toteutus ja skaalautuvuus; haittoina ovat kellon poikkeamat, tarve säännölliseen avainten hallintaan sekä potensiellinen lisäkompleksisuus tokenin elinkaaren hallinnassa.

Esimerkki: JWT-token, jossa iat on nykyhetki ja exp on 15 minuuttia myöhemmin, tarjoaa 15 minuutin aikavälin, jolloin pyyntöä voidaan hyväksyä.