Skip to main content
replaced https://tools.ietf.org/html/rfc with https://www.rfc-editor.org/rfc/rfc
Fonte Link

No caso de um JWTJWT, você o assinou com uma informação sua, para conseguir comprovar que foi você mesmo que gerou aquele token, e quando o usuário mandar para você sua aplicação conseguir verificar se o token não foi alterado.

Inclusive a opção de deixar o token em um cookie é fortemente desencorajada se não tomadas as medidas preventivas adequadas pela RFC6750 - Bearer Token UsageRFC6750 - Bearer Token Usage:

Você pode ler as considerações de segurança na RFC6749 - OAuth2 FrameworkRFC6749 - OAuth2 Framework, e este assunto é tão extenso que foi criada também a RFC6819 - OAuth2 Threat ModelRFC6819 - OAuth2 Threat Model que menciona várias formas de ataque contra o modelo, inclusive roubo de tokens (impersonation attacks).

Algumas das recomendações do framework relacionadas ao token mencionadas na RFC6750RFC6750 são:

No caso de um JWT, você o assinou com uma informação sua, para conseguir comprovar que foi você mesmo que gerou aquele token, e quando o usuário mandar para você sua aplicação conseguir verificar se o token não foi alterado.

Inclusive a opção de deixar o token em um cookie é fortemente desencorajada se não tomadas as medidas preventivas adequadas pela RFC6750 - Bearer Token Usage:

Você pode ler as considerações de segurança na RFC6749 - OAuth2 Framework, e este assunto é tão extenso que foi criada também a RFC6819 - OAuth2 Threat Model que menciona várias formas de ataque contra o modelo, inclusive roubo de tokens (impersonation attacks).

Algumas das recomendações do framework relacionadas ao token mencionadas na RFC6750 são:

No caso de um JWT, você o assinou com uma informação sua, para conseguir comprovar que foi você mesmo que gerou aquele token, e quando o usuário mandar para você sua aplicação conseguir verificar se o token não foi alterado.

Inclusive a opção de deixar o token em um cookie é fortemente desencorajada se não tomadas as medidas preventivas adequadas pela RFC6750 - Bearer Token Usage:

Você pode ler as considerações de segurança na RFC6749 - OAuth2 Framework, e este assunto é tão extenso que foi criada também a RFC6819 - OAuth2 Threat Model que menciona várias formas de ataque contra o modelo, inclusive roubo de tokens (impersonation attacks).

Algumas das recomendações do framework relacionadas ao token mencionadas na RFC6750 são:

removeu 3 caracteres do conteúdo
Fonte Link
nortontgueno
  • 4,1mil
  • 2
  • 12
  • 29

É interessante você levantar estas duas situaçõesestes dois cenários:

É interessante você levantar estas duas situações:

É interessante você levantar estes dois cenários:

Fonte Link
nortontgueno
  • 4,1mil
  • 2
  • 12
  • 29

É interessante você levantar estas duas situações:

  1. O armazenamento em cookie, vulnerável a CSRF, e também possui uma lista gigante de opções para se prevenir (porém, utilizar cookies é desencorajado pela especificação)
  2. O armazenamento via local storage / secure storage, que é vulnerável a XSS, e que também possui uma lista gigante de opções para se prevenir

Existem dois detalhes importantes na sua implementação:

  • Sua escolha por deixar httpOnly desabilitada automaticamente lhe deixa vulnerável a ataques XSS
  • Talvez a essência do Bearer Token não esteja sendo levada em consideração totalmente

Pense que o Bearer Token (ou token do portador) é a autorização do usuário, com este token sua aplicação entende que o usuário portador é de fato quem se diz ser.

Mas por que o token é confiável?

Para você entregar o token para alguém, ele provou ser quem ele diz para o servidor de autorização através de suas credenciais (clientId e secret).

No caso de um JWT, você o assinou com uma informação sua, para conseguir comprovar que foi você mesmo que gerou aquele token, e quando o usuário mandar para você sua aplicação conseguir verificar se o token não foi alterado.

É um problema deixar o token em local aberto suscetível a ataques?

Sim! De fato, é um grande problema, caso algum atacante consiga o token do seu cliente, ele conseguirá se passar por ele sem nenhum problema.

Inclusive a opção de deixar o token em um cookie é fortemente desencorajada se não tomadas as medidas preventivas adequadas pela RFC6750 - Bearer Token Usage:

Cookies are typically transmitted in the clear.  Thus, any
information contained in them is at risk of disclosure.  Therefore,
bearer tokens MUST NOT be stored in cookies that can be sent in the
clear.  See "HTTP State Management Mechanism" [RFC6265] for security
considerations about cookies.   

...

Don't store bearer tokens in cookies:  Implementations MUST NOT store
  bearer tokens within cookies that can be sent in the clear (which
  is the default transmission mode for cookies).  Implementations
  that do store bearer tokens in cookies MUST take precautions
  against cross-site request forgery.

Mas e agora o que eu faço eu acho que tudo é inseguro irei me desligar da internet

Para nossa alegria, o pessoal que criou o framework OAuth2 nos deu muito material relacionado a segurança.

Você pode ler as considerações de segurança na RFC6749 - OAuth2 Framework, e este assunto é tão extenso que foi criada também a RFC6819 - OAuth2 Threat Model que menciona várias formas de ataque contra o modelo, inclusive roubo de tokens (impersonation attacks).

Algumas das recomendações do framework relacionadas ao token mencionadas na RFC6750 são:

  1. Armazenar os tokens em lugar seguro
  2. Validar a cadeia de certificados TLS dos envolvidos
  3. Sempre utilizar TLS / HTTPS
  4. Não armazenar Bearer Tokens em cookies sem os devidos cuidados
  5. Prover data de validade para os tokens
  6. Prover escopo de atuação para os tokens
  7. Não passar tokens na URL das aplicações

Em resumo

Implementar um framework de autorização como o OAuth2 é um pouco mais complexo que apenas gerar e receber tokens como você pode ver.

Como demonstrei nas especificações, tanto o cookie quanto o local storage possuem considerações de segurança, e você deve pesar qual o custo de prevenção de cada solução. Existem formas de se prevenir contra possíveis ataques para os dois casos (um bom artigo comparando as duas formas é este aqui).

Recomendo você ler as RFCs que mencionei na resposta, elas possuem um ótimo material, bem como exemplos de ataques e prevenções.