tokenhåndtering

Tokenhåndtering beskriver politikker, processer og teknikker til at håndtere sikkerhedstokens, som bruges til autentisering og autorisation i it-systemer. Det omfatter udstedelse, opbevaring, brug, rotation og tilbagekaldelse af tokens. Forskellige token-typer anvendes, herunder sessionstokens, API-tokens, OAuth 2.0 adgangstokens og refresh-tokens, samt JSON Web Tokens (JWT), der kan indeholde bruger- og rettighedsoplysninger (claims).

Livscyklussen begynder ved godkendelse, hvor et token udstedes med begrænsede rettigheder og udløbstid. Adgangstokens har typisk kort levetid, mens refresh-tokens kan bruges til at få nye adgangstokens uden genindlogning. Tokens bør kun bruges over sikre forbindelser, og opbevares sikkert på klienten (for eksempel i HttpOnly cookies eller sikkert lager). Serveren udsteder og validerer tokens og kan understøtte rotation og tilbagekaldelse.

Vigtigere sikkerhedsaspekter inkluderer beskyttelse mod tyveri, afspilning og misbrug. Risikoer som tokenstjæling via XSS eller MitM kan afbøjes ved TLS, HttpOnly og SameSite-cookies, mindst nødvendige privilegier, og kortvarige adgangstokens. Refresh-tokens bør roteres ved hver ny udstedelse, og muligheder for tilbagekaldelse, overvågning og anomalidetektion bør implementeres. Det anbefales også at validerer tokenets udsteder, publikum (audience) og målgruppe (scope).

Praktiske anbefalinger inkluderer at anvende standardprotokoller som OAuth 2.0 og OpenID Connect, signere tokens med stærke algoritmer og sikre nøgler, og anvende klare udløbsdatoer. Sæt krævede claims, og kontroller audience og issuer ved hver validering. Dokumentér tokenhåndteringspolicyer, log token-relaterede hændelser og gennemfør regelmæssige sikkerhedsvurderinger og tests, herunder revocation-lister og rotation af nøgler.