170 похожих чатов

Кто юзает tymon/jwt-auth при дефолтных настройках, вы в курсе, что

если у клиента украдут токен, то мошеннник сможет его бесконечно рефрешить?

6 ответов

19 просмотров

клиент сам виноват что за токеном не уследил))

Tiny-Locker Автор вопроса

ну умные люди придумали рефреш токен, который хранится уже в базе и после рефреша генерится новая пара ключей, по этому можно поставить жизнь аксес токена 5 минут, владелец токена рефрешит токены, а мошенник уже не сможет ибо его рефреш токен протухнет

ну это все же полумера. мошеЙнику достаточно при получении ключей насильно дернуть рефреш чтобы легал клиент отпал

ключи можно по разному получить, и не всегда если у тебя есть токен у тебя есть и рефреш токен. зависит от того в какой момент и каким образом злоумышленник "подсосался"

Tiny-Locker Автор вопроса

ну получит он опять аксес токен на 5 минут, а клиент имея логин и пароль получит новый рефреш и новый токен и мошенник останется ни с чем

если у мошенникак есть и рефреш токен - он просто зарефрешит сразу по получению. что собственно приведет к разлогину основного юзера. который в свою очередь может залогиниться и пойти нажать кнопку "разлогиниться на всех устройствах кроме этого" но с учетом того что сейчас сплошное https украсть токен становится все сложнее. нужно заразить машину юзера чтобы утянуть токен с куков/сторожки. но с тем же успехом можно и логин пароль подождать, и баловаться уже с ними

Похожие вопросы

Обсуждают сегодня

Господа, а что сейчас вообще с рынком труда на делфи происходит? Какова ситуация?
Rꙮman Yankꙮvsky
29
А вообще, что может смущать в самой Julia - бы сказал, что нет единого стандартного подхода по многим моментам, поэтому многое выглядит как "хаки" и произвол. Короче говоря, с...
Viktor G.
2
30500 за редактор? )
Владимир
47
а через ESC-код ?
Alexey Kulakov
29
Чёт не понял, я ж правильной функцией воспользовался чтобы вывести отладочную информацию? но что-то она не ловится
notme
18
У меня есть функция где происходит это: write_bit(buffer, 1); write_bit(buffer, 0); write_bit(buffer, 1); write_bit(buffer, 1); write_bit(buffer, 1); w...
~
14
Добрый день! Скажите пожалуйста, а какие программы вы бы рекомендовали написать для того, чтобы научиться управлять памятью? Можно написать динамический массив, можно связный ...
Филипп
7
Недавно Google Project Zero нашёл багу в SQLite с помощью LLM, о чём достаточно было шумно в определённых интернетах, которые сопровождались рассказами, что скоро всех "ибешни...
Alex Sherbakov
5
Ребят в СИ можно реализовать ООП?
Николай
33
https://github.com/erlang/otp/blob/OTP-27.1/lib/kernel/src/logger_h_common.erl#L174 https://github.com/erlang/otp/blob/OTP-27.1/lib/kernel/src/logger_olp.erl#L76 15 лет назад...
Maksim Lapshin
20
Карта сайта