Tokenrotasjon

Tokenrotasjon refererer til praksisen med å utstede et nytt token og ugyldiggjøre det gamle hver gang et token brukes eller fornyes, og brukes særlig på refresh tokens i OAuth 2.0 og OpenID Connect‑økosystemer. Målet er å begrense hvor lenge et stjålet eller kompromittert token kan brukes, og å muliggjøre granular tilbakekalling.

Hvordan det fungerer: I en roterende modell, når en klient presenterer et gyldig refresh token for å skaffe nye tokens, utsteder autorisasjonsserveren et nytt tilgangstoken sammen med et nytt refresh token og ugyldiggjør umiddelbart det forrige refresh tokenet. Klienten må erstatte det lagrede refresh tokenet med det nye. Hvis et gammelt refresh token presenteres etter rotasjonen, avviser serveren det og kan flagge hendelsen.

Fordeler: Reduserer virkningen av tokentyveri ved å sikre at et kompromittert token har kort levetid; muliggjør tilbakekalling av spesifikke sesjoner; forbedrer mislighetsdeteksjon og revisjon; støtter lengre brukersesjoner uten langvarige tokens.

Vurderinger: Krever støtte både hos klient og server og nøye håndtering av tilstand, spesielt ved flere enheter eller parallelle sesjoner. Klienten må trygt lagre det nye refresh tokenet; servere må opprettholde rotasjonsstatus og håndtere kanttilfeller (for eksempel tapte refresh tokens, mislykkede rotasjoner). I noen miljøer kan rotasjon gjøre det mer komplekst å vedlikeholde lister for tilbakekall og sikkerhetsanalyse.

Relasjon til standarder: Vanlig i OAuth 2.0‑implementeringer og OpenID Connect‑leverandører; mange kommersielle identitetsleverandører tilbyr roterende refresh tokens som en funksjon, noen ganger merket som «refresh token rotation» eller «one-time use refresh tokens».