tokenpohjaiseen

Tokenpohjainen järjestelmä viittaa periaatteeseen, jossa tunnistetiedot ja valtuudet hallitaan käyttämällä tokeneita sen sijaan, että perinteinen salasana olisi keskeinen. Tokenit ovat digitaalisia todentamis- ja valtuutuskelpoisuuden oikeuksia, jotka voivat vanhentua, niitä voidaan peruuttaa ja ne esittävät käyttäjän identiteetin sekä oikeudet palveluihin.

Tokenityyppejä ovat fyysiset turvatokenit (hardware-tokeneita), ohjelmistopohjaiset tokenit sovelluksissa sekä verkkopalveluihin sidotut bearer-tokennit. Tokenpohjainen todentaminen ja valtuutus soveltuvat sekä verkkopalveluihin että organisaatioiden sisäisiin järjestelmiin. Keskeisiä standardeja ovat OAuth 2.0 ja sen laajennus OpenID Connect, jotka käyttävät pääsyoikeuksien hallintaan access-tokeneita ja tarvittaessa uusintatokenia (refresh token). JWT (JSON Web Token) on yleinen muoto, jossa todentamis- ja valtuutustiedot kootaan yhdeksi tokeniksi.

Edut: ei tarvitse jatkuvasti syöttää salasanoja, parempi skaalautuvuus ja paremmin hallitut oikeudet. Haitat: tokenien varastaminen tai väärinkäyttö, erityisesti epävarmassa yhteydessä; riskien hallintaan vaaditaan TLS-suojattu liikenne, säännöllinen tokenien kierrätys ja peruutusmekanismit sekä selkeät oikeuksien rajoitukset (scope).

Keskeisiä käytännön kysymyksiä ovat tokenien elinikä (expires), peruutus, kierrätys ja oikeuksien hallinta. Organisaatioiden on suunniteltava turvallinen tallennus, turvallinen tokenin jakelu ja järjestelmäyhteensopivuus sekä monitorointi.