Tokenpohjaisia

Tokenpohjaisia on suomalainen termi, jolla viitataan järjestelmiin ja toimintamalleihin, joissa todentaminen ja valtuutus perustuvat käytettävien tokeneiden käyttöön. Tokeneilla tarkoitetaan lyhytikäisiä, kryptografisesti suojattuja tunnuksia, joita jakaa identiteetin hallintapalvelu (Identity Provider, IdP) ja joita sovellukset käyttävät käyttöoikeuden todentamiseen. Tokenpohjainen lähestymistapa eroaa perinteisestä palvelinpuolen istunnonhallinnasta, jossa käyttäjän tiedot tallennetaan palvelimelle.

Tyypillinen arkkitehtuuri koostuu IdP:stä, joka myöntää käyttöoikeustokenin todentamisen jälkeen, sekä sovelluksesta (relying party), joka vastaanottaa ja validoi tokenin ennen resurssien sallimista. Tokenin sisällöstä (claims) voidaan päätellä käyttäjän identiteetti, roolit ja valtuudet. Tokenit voivat olla JWT-tyyppisiä (JSON Web Token) tai muita, usein sulkeutumattomia tai opaque-tokenin kaltaisia, riippuen järjestelmästä.

Yleisimmät tokenpohjaiset protokollat ovat OAuth 2.0 ja OpenID Connect, jotka on suunniteltu token-pohjaiseen todentamiseen ja valtuutukseen. SAML on vanhempi, XML-pohjainen vaihtoehto. Tokenpohjaiset ratkaisut soveltuvat erityisesti hajautettuihin ja mobiili- sekä pilviympäristöihin, joissa perinteinen sessiohallinta on haastavaa.

Edut mukaan lukien parempi skaalautuvuus, joustavampi monipalvelukäyttö ja soveltuvuus mobiili- sekä pilviympäristöihin, sekä keskitetty pääsynvalvonta IdP:n kautta. Haasteita ovat tokentien varastamisen riski, oikea voimassaolo ja uusiminen, revokaatio, avainten kierto sekä oikein määritellyt laajuudet (scopes) ja roolit.

Suomessa termi esiintyy teknisessä kirjallisuudessa ja dokumentaatiossa, ja se voidaan kääntää esimerkiksi “token-pohjainen todentaminen” tai “token-pohjainen autorisointi.”