Minha aplicação consiste de uma API nodejs no backend mas também estou criando a implementação de referência de um cliente JavaScript, que é uma SPAen feita com Backbone.
Primeiramente: a API aceita apenas requisições HTTPS, no caso de um request HTTP chegar no servidor ele o ignora completamente e opcionalment pode invalidar a senha utilizada naquele request não seguro.
Meu servidor não guarda estado (sem sessão/cookies) e eu uso apenas autenticação HTTP básicaen, onde forneço duas maneiras de se autenticar um request:
1- Enviar as credenciais no header: Authentication: base64('Basic ' + nomeDeUsuario:senha)
2- Enviar um request autenticado com o método 1 para GET /usuarios/atual
que retorna um token, que é uma string criptografada* contendo: nomeDeUsuario + '|' + dataDeExpiracaoDoToken
. O cliente daí então passa a enviar o header Authentication: 'Token ' + base64(nomeDeUsuario:token)
.
*Criptografia feita com algoritmo aes-256-ctr do OpenSSL. A chave privada é o hash da senha do usuário.
O método 1 pode ser utilizado para comunicação servidor-servidor, portanto não é adequado ao cliente JavaScript, pois para todos os requests o usuário teria que inserir suas credenciais, a menos que tais credenciais fossem armazenadas na memória do browser, o que eu não sei se é seguro o suficiente. Além do mais, armazenar as credencias no local storage manteria o usuário logado indefinidamente.
Pelo método 2 o cliente JavaScript envia apenas um request autenticado com autenticação básica e imediatamente descarta essas informações sensíveis de login, armazenando apenas o token no local storage. Após um determinado tempo este token irá expirar e será necessário uma revalidação, quase que emulando uma sessão no servidor.
Do lado do servidor eu verifico a autenticidade de um request feito com o método 2 simplesmente obtendo o hash da senha do usuario e tentando descriptografar o token, então eu verifico tokenDescriptografado.split('|')[0] === username
.
Esta á uma abordagem segura? Existe algum ponto que não estou levando em consideração? Dada esta abordagem, quais tipo de ataques eu estaria sujeito?
*Este é um crosspost de uma pergunta que fiz no Information Security