Tokensikkerhet

Tokensikkerhet omhandler beskyttelsen av autentiserings- og autorisasjonstokens som brukes for å få tilgang til digitale ressurser. Toks brukes som bevis på identitet og tilgang, og feilbeskyttelse kan føre til uautorisert tilgang, datalekkasjer eller tjenestenekt. God tokensikkerhet innebærer riktig utforming, sikker lagring, sikker overføring og kontroll av livssyklus.

Typer tokens inkluderer bearer tokens, session tokens og API-tokens. I moderne systemer brukes ofte OAuth 2.0 og OpenID Connect, hvor tilgangstokens (ofte JWT) gir tilgang til ressurser, og refresh-tokens kan brukes til å få nye tilgangstokens uten å logge inn igjen. Tokens kan være statløse (bearer JWT) eller være sentralt lagret og vedlikeholdt.

Vanlige trusler mot tokens inkluderer lekkasje gjennom loggfiler, nettverkstrafikk eller skadelig programvare, stjeling via XSS eller sosial manipulering, samt misbruk av utdatert eller ugyldig token. Tokenlekkasje kan også skje hvis tokens sendes i URL-er eller lagres i ikke-sikrede klientlagringer. Derfor er det viktig å begrense levetiden, aktivere revokasjon, og bruke sikker lagring og transport.

Sentrale prinsipper inkluderer å bruke transportkryptering (TLS), lagre tokens sikkert (for eksempel HttpOnly og Secure cookies eller en plattformspesifikk sikker lagringsløsning), bruke korte levetider og rotere tokens, og implementere skopering og nødvendig autorisasjon. Verifikasjon bør inkludere kontroll av signer, utsteder, mottaker (audience), og utløp, samt validering av tilhørende metadata som issuer og jti. Overvåking og logging av tokenaktiviteter hjelper i hendelseshåndtering og samsvar.