tokenbasert

Tokenbasert er et begrep som beskriver autentisering og autorisering der tilgang til systemer eller ressurser skjer gjennom utstede tokens i stedet for at brukeren gir brukernavn og passord ved hver forespørsel. Tokens utstedes av en pålitelig autoritativ tjeneste etter at identiteten er verifisert, og brukes deretter for å få tilgang til beskyttede ressurser.

Det finnes ulike typer tokens. Selvcontainere tokens, som JSON Web Tokens (JWT), bærer påstander (claims) som subjekt, utsteder, mottaker og utløp, og kan verifiseres cryptografisk. Absoute tokens er ikke avslørte og må valideres gjennom en autoritet for hver forespørsel. Tokenbasert autentisering brukes ofte sammen med standarder som OAuth 2.0 og OpenID Connect, som definerer hvordan tokens opprettes, sikkert håndteres og rettes mot riktig ressurs.

Tokens har vanligvis en begrenset levetid og kan få tilgangs- og oppdragsomfang (scopes). Mange systemer bruker også refresh tokens som kan utstede nye tilgangstokens uten at brukeren må logge inn på nytt. Tokenhåndtering innebærer utfordringer som tokenlekkasje, behov for revoking, og kompleksitet i livssyklusstyring. Sikker lagring av tokens på klienten, sikre overføringer (HTTPS), og streng verifikasjon av issuer, audience og utsteder er viktige praksiser.

Fordelene med tokenbasert tilgang inkluderer forbedret sikkerhet ved redusert gjenbruk av passord, mulighet for skalerbarhet i distribuert arkitektur og bedre brukeropplevelse i applikasjoner uten vedvarende serverkamper for hver forespørsel. Ulemper inkluderer risiko for lekkasje og behov for nøye livssyklus- og nøkkelhåndtering.