token dostępowy zapisany w URL

Token dostępowy zapisany w URL trafia do logów serwerów i historii przeglądarki, co zwiększa ryzyko jego ujawnienia.

Jak token dostępowy trafia do adresu URL

Token dostępowy zapisany w URL jest ciągiem znaków umieszczonym w adresie żądania HTTP, zwykle po znaku zapytania jako parametr zapytania albo w części ścieżki. Przykładowy adres może mieć postać https://example.com/download?token=abc123. Aplikacja po stronie serwera odczytuje wartość tokenu i na jej podstawie rozpoznaje klienta, zakres uprawnień lub prawo do wykonania określonej operacji. Token może służyć między innymi do jednorazowego pobrania pliku, potwierdzenia odnośnika wysłanego pocztą elektroniczną albo tymczasowego dostępu do zasobu.

Sam token nie musi zawierać nazwy użytkownika ani hasła. Z punktu widzenia bezpieczeństwa pełni jednak funkcję poświadczenia, jeżeli serwer akceptuje go bez dodatkowego uwierzytelnienia. Osoba, która uzyska taki ciąg znaków, może spróbować użyć go w innym żądaniu. Znaczenie tokenu zależy od implementacji usługi: może być losowym identyfikatorem przechowywanym po stronie serwera, podpisanym komunikatem albo wartością zakodowaną w formacie takim jak JSON Web Token. Kodowanie, na przykład Base64URL, nie jest szyfrowaniem i nie zapewnia poufności.

Dlaczego parametr tokenu pozostaje w wielu miejscach

Adres URL jest częścią żądania wysyłanego do serwera i może zostać zapisany w dziennikach dostępu, dziennikach aplikacji, systemach monitorowania oraz narzędziach pośredniczących. W typowym wpisie logu administrator może zobaczyć metodę HTTP, ścieżkę i parametry zapytania. Jeżeli token znajduje się właśnie w parametrze, zostaje zapisany razem z pozostałą częścią adresu. Zastosowanie HTTPS chroni transmisję między klientem a serwerem przed odczytem przez przypadkowego obserwatora sieci, ale nie usuwa tokenu z logów tworzonych po zakończeniu szyfrowanego połączenia.

Adres jest również przechowywany lokalnie przez przeglądarkę. Może pojawić się w historii, pamięci podręcznej, mechanizmach synchronizacji historii oraz zapisach diagnostycznych przeglądarki. Kopiowanie adresu do schowka, wysłanie go komunikatorem albo zapisanie jako zakładki tworzy kolejne kopie poświadczenia. Dodatkowe ryzyko wynika z nagłówka Referer, który w określonych warunkach może przekazać poprzedni adres stronie otwieranej z dokumentu. Obecne przeglądarki stosują zasady ograniczające zakres takiego przekazywania, ale aplikacja nie powinna zakładać, że token w URL pozostanie wyłącznie na jednej stronie.

Skutki ujawnienia i bezpieczniejsze wzorce przekazywania

Ujawniony token może umożliwić dostęp do zasobu do czasu jego wygaśnięcia, unieważnienia albo wykorzystania, jeżeli został zaprojektowany jako jednorazowy. W przypadku tokenu wielokrotnego użytku skutki mogą trwać dłużej. Nie należy oceniać bezpieczeństwa wyłącznie po długości tokenu. Długi losowy ciąg utrudnia odgadnięcie, ale nie chroni przed skopiowaniem z historii przeglądarki lub logu. Ważne są również czas życia, zakres uprawnień, możliwość unieważnienia oraz powiązanie z konkretną operacją.

W wielu scenariuszach lepszym rozwiązaniem jest przekazanie poświadczenia w nagłówku HTTP, na przykład Authorization: Bearer ..., ponieważ standardowe logi serwera zwykle nie zapisują wszystkich nagłówków w taki sam sposób jak ścieżki i parametry. Nie oznacza to pełnej ochrony: nagłówki mogą zostać zarejestrowane przez serwer, proxy, narzędzie debugujące lub aplikację kliencką. Przydatnym wzorcem dla odnośników jednorazowych jest użycie krótkotrwałego tokenu w URL, a następnie natychmiastowa zamiana adresu w pasku przeglądarki na wersję pozbawioną tokenu, na przykład za pomocą mechanizmu historii przeglądarki. Serwer powinien także stosować zasadę najmniejszych uprawnień, ograniczać token do jednego celu i rejestrować zdarzenia bez zapisywania pełnej wartości poświadczenia.

Postępowanie przy podejrzeniu wycieku tokenu

Jeżeli token został omyłkowo opublikowany, wysłany do niewłaściwej osoby albo zapisany w publicznym logu, należy traktować go jak ujawnione hasło tymczasowe. Pierwszym krokiem jest unieważnienie tokenu po stronie usługi. Jeżeli system nie pozwala na jego odwołanie, należy skrócić jego ważność albo zmienić zasób, do którego prowadzi. Warto sprawdzić logi użycia, aby ustalić, czy token został wykorzystany, oraz usunąć go z adresów udostępnianych w zgłoszeniach, zrzutach ekranu i dokumentacji. Usunięcie wpisu z historii przeglądarki nie unieważnia tokenu, dlatego nie zastępuje działania po stronie serwera.

Podczas diagnostyki laptopa lub komputera PC można sprawdzić historię przeglądarki, zapisane zakładki, rozszerzenia, konfigurację aplikacji oraz sposób tworzenia logów przez używane oprogramowanie. Nie należy jednak wklejać aktywnego tokenu do zgłoszenia serwisowego ani publikować go w komunikatorze. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów stacjonarnych PC, w tym diagnostyką problemów z oprogramowaniem oraz konfiguracją urządzenia. W przypadku podejrzenia ujawnienia poświadczenia właściwe działania bezpieczeństwa, takie jak unieważnienie tokenu i zmiana danych dostępowych, wykonuje się w samej usłudze, która ten token wystawiła.