tokenlättlivslängder

Tokenlättlivslängder är ett begrepp inom informationssäkerhet som beskriver hur länge ett autentiseringstoken är giltigt. I praktiken avser det ofta kortlivade access tokens som utfärdas av en auktorisationsserver och används för att få tillgång till skyddade resurser utan att användaren ska logga in igen. Genom att begränsa tokenernas livslängd minskar den tidsram under vilken ett stulet eller fångat token kan missbrukas.

Vanligtvis har access tokens en relativt kort livstid, medan längre livslängder används av refresh tokens för att förnya access tokens utan ny inloggning. På detta sätt kan användare fortsätta att få tillgång utan att uppleva avbrott samtidigt som säkerheten behålls genom att själva tokenerna inte får vara giltiga särskilt länge.

Mekanismen bygger på att tokens innehåller ett utgångsdatum (exp) och ibland andra tidsbegränsningar, och att de signeras av en auktorisationsserver. När en klient presenterar token för en resursserver verifieras signaturen och giltighetsperioden. När exp inträffat krävs en ny access token via en refresh token. Rotation av refresh tokens och säkra lagringsmetoder är vanliga skyddsåtgärder.

Relation till standarder: konceptet är central inom OAuth 2.0 och OpenID Connect och används ofta tillsammans med JWT som tokenformat. Bästa praxis förespråkar mycket korta livslängder för access tokens, kompletterade av säkra, roterande refresh tokens och robust återkallelse.

Utmaningar inkluderar klockskillnader, användarupplevelse vid frekventa förnyelser och risker om refresh tokens komprometteras.