token w formacie niezaszyfrowanym

Token w formacie niezaszyfrowanym jest czytelny dla każdego, kto ma do niego dostęp w trakcie przesyłu.

Czym jest token w formacie niezaszyfrowanym

Token w formacie niezaszyfrowanym to wartość, której treść nie została zabezpieczona szyfrowaniem przed odczytem. Może mieć postać ciągu znaków, identyfikatora sesji, klucza dostępu albo poświadczenia używanego przez aplikację. Sam fakt, że token jest długi lub zawiera przypadkowo wyglądające znaki, nie oznacza jeszcze, że jest zaszyfrowany. Jeżeli osoba trzecia uzyska dostęp do takiej wartości podczas przesyłu, może ją odczytać i ocenić jej strukturę.

Nie należy mylić szyfrowania z kodowaniem. Przykładowo zapis Base64 zmienia sposób przedstawienia danych, ale nie zapewnia poufności, ponieważ zawartość można łatwo odkodować. Token może też mieć format tekstowy, którego znaczenie nie jest widoczne bez znajomości dokumentacji aplikacji, lecz nadal pozostaje niezaszyfrowany. O bezpieczeństwie decyduje sposób jego przesyłania, przechowywania i unieważniania, a nie sama długość lub wygląd ciągu.

Token przesyłany przez połączenie sieciowe

Największe ryzyko występuje wtedy, gdy token jest przesyłany przez zwykłe połączenie HTTP zamiast przez HTTPS. W takim przypadku dane mogą być widoczne dla urządzeń pośredniczących w komunikacji, na przykład dla punktu dostępowego Wi-Fi, routera, przełącznika z funkcją przechwytywania ruchu albo oprogramowania monitorującego połączenie. Osoba, która odczyta token uwierzytelniający, może wykorzystać go do wykonania żądań w imieniu użytkownika, jeśli serwer traktuje go jako aktywne poświadczenie.

W praktyce token często znajduje się w nagłówku HTTP Authorization, na przykład jako wartość typu Bearer, albo w ciasteczku sesyjnym. Szyfrowanie warstwy transportowej TLS chroni zawartość komunikacji między klientem a serwerem przed odczytem po drodze. Nie usuwa jednak wszystkich zagrożeń: token może nadal trafić do historii przeglądarki, dziennika serwera, narzędzi diagnostycznych, systemu analitycznego lub rozszerzenia przeglądarki, jeżeli aplikacja umieści go w adresie URL albo nieprawidłowo rejestruje nagłówki. Dlatego poświadczeń nie powinno się dodawać do parametrów adresu strony, gdy można użyć bezpiecznego nagłówka lub kontrolowanego mechanizmu sesji.

Skutki ujawnienia i kontrola ważności

Ujawniony token nie zawsze daje dostęp do wszystkich funkcji programu. Zakres uprawnień zależy od tego, co serwer powiązał z danym tokenem: konta użytkownika, sesji, zakresu operacji, urządzenia lub czasu ważności. Token o charakterze bearer jest używany przez każdego, kto go posiada, bez konieczności przedstawiania dodatkowego dowodu własności. Z tego powodu przejęcie wartości może prowadzić do odczytu danych, zmiany ustawień albo wykonania operacji dostępnych dla właściciela poświadczenia.

Podstawową reakcją na podejrzenie wycieku jest unieważnienie tokena i wydanie nowego. W zależności od aplikacji można zastosować krótki czas życia, rotację tokenów, osobne tokeny dla różnych urządzeń oraz ograniczenie zakresu uprawnień. Przydatne jest również sprawdzanie, czy token nie pojawia się w logach, zrzutach ekranu, plikach konfiguracyjnych i kopiach zapasowych. Jeżeli system przechowuje tokeny po stronie serwera, bezpieczniejszym rozwiązaniem jest przechowywanie ich w postaci skrótów, gdy aplikacja nie musi później odzyskać pierwotnej wartości. Sam skrót nie zastępuje mechanizmu unieważniania, ale ogranicza skutki wycieku bazy zawierającej zapisane poświadczenia.

Sprawdzenie tokenu na laptopie lub komputerze PC

Podczas diagnostyki problemu z logowaniem warto ustalić, czy aplikacja korzysta z HTTPS, czy token jest przesyłany w nagłówku, ciasteczku albo adresie URL oraz czy nie jest zapisywany w plikach dziennika. W przeglądarce można skontrolować żądania sieciowe w narzędziach deweloperskich, zwracając uwagę na adres połączenia i obecność nagłówków uwierzytelniających. W przypadku programu instalowanego lokalnie należy przejrzeć jego konfigurację, komunikaty błędów i lokalne logi, nie publikując ich zawartości, ponieważ mogą zawierać aktywne poświadczenia.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, a przy problemach z dostępem do aplikacji może sprawdzić ustawienia sieciowe, certyfikaty, przeglądarkę oraz sposób przechowywania danych konfiguracyjnych. Jeżeli token został ujawniony, samo usunięcie pliku z komputera nie musi wystarczyć. Konieczne może być wylogowanie aktywnych sesji, wycofanie starego tokena w aplikacji i ponowne uwierzytelnienie użytkownika.