nieodwołane dostępne tokeny sesji po zmianie hasła

Nieodwołane tokeny sesji po zmianie hasła pozostawiają aktywny dostęp osobie, przed którą konto miało zostać zabezpieczone.

Co oznaczają aktywne tokeny po zmianie hasła

Token sesji jest wartością, która potwierdza wcześniejsze uwierzytelnienie użytkownika. Po poprawnym zalogowaniu serwer może przekazać przeglądarce identyfikator sesji zapisany w ciasteczku HTTP, a aplikacja może także używać tokenu dostępowego lub tokenu odświeżającego. Przy kolejnych żądaniach klient przedstawia taki token zamiast ponownie wysyłać hasło. Jeżeli token pozostaje ważny po zmianie hasła, samo ustawienie nowego hasła nie kończy automatycznie sesji utworzonych wcześniej.

W praktyce oznacza to, że osoba mająca kopię ważnego tokenu może nadal korzystać z konta w zakresie przyznanych uprawnień, nawet jeśli nie zna nowego hasła. Dotyczy to między innymi sesji otwartej w innej przeglądarce, aplikacji mobilnej, programie pocztowym albo na komputerze używanym wcześniej. Zmiana hasła zabezpiecza kolejne logowanie, ale nie musi unieważnić poświadczeń wydanych przed tą zmianą.

Dlaczego zmiana hasła nie zawsze kończy wszystkie sesje

Unieważnienie sesji zależy od sposobu, w jaki działa konkretna aplikacja. W modelu sesji przechowywanej po stronie serwera można oznaczyć identyfikator jako nieważny albo usunąć powiązany rekord. W modelu tokenowym serwer może sprawdzać stan tokenu w rejestrze odwołań, zmieniać wersję poświadczeń przypisaną do konta albo odrzucać tokeny wydane przed określonym zdarzeniem. Jeżeli aplikacja nie wykonuje żadnej z tych operacji, token zachowuje ważność aż do upływu własnego czasu życia lub ręcznego wylogowania.

Problem może dotyczyć także tokenów odświeżających. Token dostępowy często służy do krótkiego dostępu do zasobów, natomiast token odświeżający pozwala uzyskać kolejny token bez wpisywania hasła. Unieważnienie tylko bieżącej sesji w przeglądarce nie musi więc zakończyć innych urządzeń. Skuteczne zabezpieczenie po zmianie hasła wymaga objęcia operacją wylogowania wszystkich aktywnych sesji oraz tokenów odświeżających, zgodnie z mechanizmem przewidzianym przez daną usługę.

Objawy i sprawdzenie stanu dostępu

Nieodwołane tokeny można podejrzewać, gdy po zmianie hasła nadal działają sesje na nieużywanym urządzeniu, aplikacja nie prosi o ponowne uwierzytelnienie albo w historii aktywności pojawiają się operacje wykonane z wcześniejszego klienta. Samo pozostawienie otwartej karty w przeglądarce nie jest jeszcze dowodem przejęcia konta, ponieważ część aplikacji utrzymuje sesję przez długi czas zgodnie z własną polityką. Istotne jest sprawdzenie listy urządzeń, aktywnych logowań, aplikacji z dostępem oraz czasu ostatniego użycia sesji.

Po podejrzeniu nieuprawnionego dostępu należy zmienić hasło z zaufanego urządzenia, użyć funkcji „wyloguj ze wszystkich urządzeń” lub jej odpowiednika i ponownie zalogować tylko potrzebne klienty. Warto sprawdzić, czy nie zmieniono adresu odzyskiwania konta, metod dodatkowego uwierzytelniania, reguł przekierowania poczty oraz uprawnień przyznanych aplikacjom. Jeżeli usługa udostępnia dziennik bezpieczeństwa, należy porównać godziny logowań, typy urządzeń i lokalizacje z własną aktywnością. Zmiana hasła bez odwołania istniejących tokenów może pozostawić wcześniejszy dostęp mimo prawidłowego wykonania samej zmiany.

Diagnostyka problemu na laptopie lub komputerze PC

Na komputerze można rozpocząć od wylogowania z konta we wszystkich kartach, zamknięcia aplikacji korzystających z tego konta i ponownego uruchomienia przeglądarki. Jeżeli problem występuje tylko w jednym profilu przeglądarki, pomocne może być usunięcie ciasteczek oraz danych witryny dla konkretnej usługi, bez kasowania całego profilu. Trzeba jednak odróżnić lokalny zapis starego ciasteczka od aktywnego tokenu utrzymywanego po stronie serwera. Usunięcie danych przeglądarki kończy dostęp na tym urządzeniu, ale nie odwołuje tokenów zapisanych na innych urządzeniach.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnostyką problemów z przeglądarką, aplikacjami oraz działaniem systemu, które mogą utrudniać prawidłowe wylogowanie lub ponowne logowanie. Podczas analizy sprawdza się między innymi profile przeglądarek, zapisane dane witryn, rozszerzenia, datę i czas systemowy oraz zachowanie aplikacji po zmianie hasła. Unieważnienie tokenów po stronie konta wykonuje się w ustawieniach właściwej usługi, ponieważ komputer nie może samodzielnie odwołać poświadczeń przechowywanych na jej serwerach.