token współdzielony między użytkownikami

Token współdzielony między użytkownikami uniemożliwia jednoznaczne przypisanie działań do konkretnej osoby.

Jak działa token współdzielony między użytkownikami

Token współdzielony między użytkownikami to wspólny ciąg danych, który aplikacja lub usługa wykorzystuje do uwierzytelnienia wielu osób. Może mieć postać długiego losowego identyfikatora zapisanego w nagłówku żądania HTTP, ciasteczku przeglądarki, pamięci programu albo pliku konfiguracyjnym. System sprawdza obecność i ważność tokenu, a następnie uznaje żądanie za pochodzące od podmiotu uprawnionego do wykonania określonych operacji. Jeżeli dokładnie ten sam token znajduje się na kilku komputerach lub jest używany przez kilka kont, serwer widzi wspólny identyfikator zamiast odrębnych danych każdej osoby.

Token nie musi zawierać wprost nazwy użytkownika ani hasła. Często jest wartością losową powiązaną po stronie serwera z sesją, zakresem uprawnień, datą wygaśnięcia lub konkretną aplikacją. Rozwiązanie może działać poprawnie jako techniczny mechanizm dostępu, ale samo współdzielenie wartości zmienia sposób rozliczania operacji. Gdy użytkownik A i użytkownik B wysyłają żądania z identycznym tokenem, log aplikacji może zapisać tę samą sesję, ten sam identyfikator klienta albo ten sam podmiot autoryzacyjny. Bez dodatkowego, wiarygodnego identyfikatora nie da się ustalić, która osoba wykonała konkretną czynność.

Dlaczego wspólny identyfikator osłabia ślad audytowy

Jednoznaczne przypisanie działania wymaga rozdzielenia co najmniej dwóch informacji: potwierdzenia, że żądanie pochodzi od uprawnionego użytkownika, oraz wskazania, który użytkownik je wykonał. Wspólny token może spełniać pierwszy warunek, lecz nie zapewnia drugiego. Wpis w dzienniku może pokazać czas operacji, adres zasobu, metodę żądania i wspólną wartość sesji, ale nie rozstrzyga, kto siedział przed komputerem. Adres IP również nie rozwiązuje problemu, ponieważ jeden adres może być używany przez wiele osób za pośrednictwem routera, firmowej sieci Wi-Fi, serwera proxy lub translacji adresów.

Skutki są widoczne podczas analizy błędów i incydentów. Jeżeli wspólny token został użyty do zmiany ustawień, pobrania pliku albo usunięcia danych, administrator może ustalić, kiedy i z jakiego klienta wykonano operację, lecz niekoniecznie wskaże jej autora. Rotacja tokenu po zmianie hasła jednego użytkownika może dodatkowo przerwać dostęp pozostałym osobom, a unieważnienie tokenu po podejrzeniu wycieku wymaga jednoczesnego odtworzenia dostępu dla całej grupy. Wspólny sekret zwiększa też ryzyko, że osoba, która uzyskała token z pamięci przeglądarki, logu diagnostycznego lub kopii konfiguracji, uzyska dostęp przewidziany dla wszystkich jego posiadaczy.

Rozdzielenie sesji, kont i uprawnień

Bezpieczniejszy model zakłada osobne konto oraz osobny token sesyjny dla każdego użytkownika. Serwer może wtedy powiązać token z konkretnym identyfikatorem konta, zakresem uprawnień i czasem wygaśnięcia. Po wylogowaniu albo wykryciu naruszenia można unieważnić jedną sesję bez przerywania pracy pozostałym osobom. Dodatkową ochronę zapewnia ograniczenie ważności tokenu, przechowywanie go poza treścią adresu URL oraz przesyłanie wyłącznie przez szyfrowane połączenie HTTPS. W aplikacji przeglądarkowej istotne są także poprawne atrybuty ciasteczka, takie jak Secure i HttpOnly, ponieważ zmniejszają ryzyko odczytu wartości przez nieuprawniony skrypt lub przesłania jej przez niezabezpieczone połączenie.

Rejestrowanie działań powinno wykorzystywać identyfikator użytkownika uzyskany po stronie serwera z aktualnej sesji, a nie wyłącznie dane dostarczone przez klienta. Wpis audytowy może zawierać identyfikator konta, identyfikator sesji, czas w UTC, rodzaj operacji, wynik oraz identyfikator obiektu, którego dotyczyło żądanie. Nazwa użytkownika wpisana w formularzu lub nagłówek przesłany przez aplikację kliencką nie jest wystarczającym dowodem tożsamości, ponieważ może zostać zmieniony. Przy diagnozowaniu problemu warto porównać logowanie uwierzytelnienia, utworzenie sesji i wykonanie operacji; rozbieżność między tymi zdarzeniami może wskazać na użycie współdzielonego tokenu albo ponowne wykorzystanie starej sesji.

Sprawdzenie problemu na laptopie i komputerze PC

Na komputerze użytkownika można sprawdzić, czy kilka profili aplikacji korzysta z tej samej sesji, porównując moment logowania, identyfikatory sesji widoczne w narzędziach diagnostycznych oraz sposób przechowywania poświadczeń. Nie należy kopiować ani publikować pełnych tokenów, ponieważ ich ujawnienie może umożliwić przejęcie aktywnej sesji. W praktyce bezpiecznym działaniem jest wylogowanie wszystkich urządzeń, unieważnienie istniejących sesji po stronie usługi, ponowne zalogowanie każdego użytkownika na osobne konto oraz sprawdzenie, czy nowe wpisy audytowe wskazują odrębne identyfikatory.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, dlatego przy problemach z aplikacją na komputerze można rozpocząć diagnostykę od sprawdzenia przeglądarki, lokalnego profilu użytkownika, zapisanych sesji i połączenia sieciowego. Sama wymiana podzespołu nie rozdzieli wspólnego tokenu, jeżeli przyczyna znajduje się na koncie lub po stronie usługi. Po usunięciu lokalnych danych sesyjnych trzeba ponownie zweryfikować uprawnienia, czas wygaśnięcia tokenu i zapis identyfikatora użytkownika w dziennikach, aby potwierdzić, że kolejne działania można przypisać właściwej osobie.