JWT, localStorage'da mı yoksa tanımlama bilgisinde mi saklanmalıdır? [çiftleme]

Bazı malzemelere göre (bu kılavuz ve bu soru gibi ), JWT kullanarak REST API'nin güvenliğini sağlamak amacıyla, JWT, localStorage veya Cookies'de saklanabilir . Anladığıma göre:

• localStorage , XSS'ye tabidir ve genellikle içinde herhangi bir hassas bilginin saklanması önerilmez.
• İle Çerezler biz hangi azaltır XSS riski bayrağı "httpOnly" başvurabilir. Bununla birlikte, arka uçtaki Çerezlerden JWT'yi okuyacaksak, CSRF'ye tabi oluruz.

Dolayısıyla, yukarıdaki önermeye dayanarak - JWT'yi Çerezlerde saklamak en iyisi olacaktır. Sunucuya yapılan her istekte, JWT Çerezlerden okunacak ve Bearer şeması kullanılarak Yetkilendirme başlığına eklenecektir. Sunucu daha sonra istek başlığındaki JWT'yi doğrulayabilir (tanımlama bilgilerinden okumak yerine).

Anladığım doğru mu? Varsa, yukarıdaki yaklaşımın herhangi bir güvenlik endişesi var mı? Ya da ilk başta localStorage kullanmaktan kurtulabilir miyiz?

@ Pkid169'un söylediği makalede bahsedilen XSRF Double Submit Cookies yöntemini seviyorum, ancak makalenin size söylemediği bir şey var. Hala XSS'ye karşı korunmuyorsunuz çünkü saldırganın yapabileceği şey, CSRF tanımlama bilginizi (HttpOnly değil) okuyan komut dosyası enjekte etmek ve ardından bu CSRF belirtecini kullanarak API uç noktalarınızdan birine JWT tanımlama bilgisinin otomatik olarak gönderilmesi için bir istekte bulunmaktır.

Yani gerçekte hala XSS'ye duyarlısınız, sadece saldırgan daha sonra kullanmak için JWT jetonunuzu çalamaz, ancak yine de XSS kullanarak kullanıcılarınız adına istekte bulunabilir.

İster JWT'nizi bir localStorage'da depolayın, ister XSRF-belirtecinizi yalnızca http olmayan tanımlama bilgisinde depolayın, her ikisi de XSS tarafından kolayca yakalanabilir. HttpOnly tanımlama bilgisindeki JWT'niz bile gelişmiş bir XSS saldırısı tarafından yakalanabilir.

Bu nedenle, Çifte Gönderme Çerezleri yöntemine ek olarak, içerik çıkışı dahil XSS'ye karşı her zaman en iyi uygulamaları izlemelisiniz. Bu, tarayıcının istemediğiniz bir şeyi yapmasına neden olabilecek çalıştırılabilir kodların kaldırılması anlamına gelir. Tipik olarak bu, JavaScript'in değerlendirilmesine neden olan // <! [CDATA [etiketlerinin ve HTML özniteliklerinin kaldırılması anlamına gelir.

Stormpath'ten zamanında gelen bir gönderi , noktaları hemen hemen detaylandırdı ve sorumu yanıtladı.

TL; DR

JWT'yi çerezlerde saklayın, ardından JWT'yi daha önce bahsettiğim gibi her talepte Yetkilendirme başlığından geçirin veya makalenin önerdiği gibi, CSRF'yi önlemek için arka uca güvenin (örneğin xsrfToken, Angular durumunda kullanma ).

• Belirteçinizi LocalStorage veya SessionStorage'da saklamayın, çünkü bu tür belirteç javascript'ten okunabilir ve bu nedenle XSS saldırısına karşı savunmasızdır.
• Jetonunuzu Cookie'de saklamayın. Çerez (HttpOnly işaretiyle) daha iyi bir seçenektir - XSS'ye eğilimlidir, ancak CSRF saldırısına karşı hassastır

Bunun yerine, oturum açarken iki jeton sunabilirsiniz: erişim jetonu ve yenileme jetonu. Erişim belirteci Javascript belleğinde saklanmalı ve Yenileme belirteci HttpOnly Cookie'de saklanmalıdır. Yenileme belirteci yalnızca ve yalnızca yeni erişim belirteçleri oluşturmak için kullanılır - başka bir şey değil.

Kullanıcı yeni sekme açtığında veya site yenilendiğinde, Cookie'de depolanan yenileme belirtecine dayalı olarak yeni erişim belirteci oluşturma talebinde bulunmanız gerekir.

Ayrıca bu makaleyi okumanızı şiddetle tavsiye ederim: https://hasura.io/blog/best-practices-of-using-jwt-with-graphql/

Mevcut tanımlama bilgilerinden yararlanan CSRF saldırılarını önlemeye yardımcı olmak için, tanımlama bilginizi SameSiteyönergeyle ayarlayabilirsiniz . laxVeya olarak ayarlayın strict.

Bu hala bir taslaktır ve 2019 itibariyle tüm mevcut tarayıcılar tarafından tam olarak desteklenmemektedir , ancak verilerinizin hassasiyetine ve / veya kullanıcılarınızın kullandığı tarayıcılar üzerindeki kontrolünüze bağlı olarak uygun bir seçenek olabilir. Yönergeyi ile ayarlamak, SameSite=lax"'güvenli' ... HTTP yöntemi kullanan üst düzey gezinmelere" izin verir.