TokenVerifikation

TokenVerifikation bezeichnet den Prozess der Bestätigung der Gültigkeit, Herkunft und Integrität eines Tokens, das als Beleg für Identität oder Berechtigungen dient. Ziel ist es sicherzustellen, dass ein Token von einer vertrauenswürdigen Instanz ausgestellt wurde, nicht verändert wurde und für den vorgesehenen Empfänger gültig ist.

Die Verifikation erfolgt typischerweise durch Prüfung der Signatur oder MAC des Tokens. Bei digitalen Signaturen prüft der Empfänger mit dem öffentlichen Schlüssel des Ausstellers die Signatur und validiert Claims wie Issuer (Aussteller), Audience (Adressat) und Expiration. Bei MAC-basierten Tokens wird der geteilte Schlüssel verwendet, um die Integrität zu prüfen. Viele Tokenformate, insbesondere JSON Web Tokens (JWT), enthalten Header, Payload und Signatur. API-Tokens, OAuth 2.0- oder SAML-Assertions nutzen ähnliche Prinzipien, unterscheiden sich jedoch in Form und Verarbeitungslogik.

Zu den gängigsten Tokenarten zählen JWTs, OAuth-Access-Tokens, API-Keys und SAML-Assertions. JWTs ermöglichen eine selbstständige Verifikation durch Signaturen, während bei API-Keys oft eine serverseitige Validierung erfolgt. In der Praxis kann die Verifikation stateless erfolgen, indem das Token selbst geprüft wird, oder stateful, indem der Token-Status in einer Datenbank oder Revocation-Liste geprüft wird.

Wichtige Sicherheitsaspekte betreffen Token-Leckage, Replay-Attacken, Token-Diebstahl und fehlende Revocation. Best Practices umfassen kurze Lebensdauer, Schlüsselrotation, Binding an Client und TLS-Transport, sowie strikte Validierung von Issuer und Audience und der Einsatz von PKCE bzw. regelmäßigen Audits. Anwendungen finden sich in Web- und Mobile-Authentifizierung, API-Sicherheit, Single Sign-On und verteilten Zugriffsprozessen.