RefreshTokenStrategien

RefreshTokenStrategien beschreiben Ansätze zur Ausstellung, Speicherung, Rotation und Widerrufung von Refresh Tokens, die in Authentifizierungsprotokollen wie OAuth 2.0 verwendet werden, um neue Access Tokens zu erhalten. Ziel ist es, eine Balance zwischen Benutzerfreundlichkeit (längere Sitzungen ohne erneute Anmeldung) und Sicherheit (Minimierung des Missbrauchs gestohlener Tokens) zu erreichen.

Gängige Strategien umfassen statische versus rotierende Refresh Tokens. Bei statischen Tokens bleibt derselbe Refresh Token über seine Lebensdauer gültig; das vereinfacht Implementierung, erhöht jedoch das Risiko bei Diebstahl. Rotation erzeugt bei jeder Nutzung einen neuen Refresh Token und macht Wiedereinsatz alter Tokens erkennbar, was Missbrauchsdetektion und Sperrung ermöglicht. Sliding Expiry verlängert die Lebenszeit bei Aktivität, während feste Ablaufzeiten regelmäßige Neuanmeldung erzwingen.

Sicherheitsmaßnahmen beinhalten sichere Speicherung auf dem Client (z. B. geschützte Keystore für native Apps, sichere Cookies für Web-Apps), Übertragung nur über TLS, Bindung an Client-Identität oder Sender-Constrained-Mechanismen (mTLS, DPoP) und eine klare Widerrufs-API. Serverseitig werden kurzlebige Access Tokens, Überwachung von Refresh-Vorgängen, Revoke-Endpunkte und Token-Blacklist/Allowlist-Modelle eingesetzt.

Die Wahl der Strategie richtet sich nach Bedrohungsmodell und Anwendungstyp: öffentliche Clients benötigen strengere Maßnahmen als vertrauliche Server-Clients. Architekturentscheidungen sollten dokumentiert, regelmäßig überprüft und an aktuelle Sicherheitsrichtlinien angepasst werden.