4

Acredito que estou de paranoia, mas não consegui achar nenhuma situação similar a minha (se souber me passe o link, fico grato) então queria fazer essa pergunta para obter uma resposta definitiva.

Antes da pergunta algumas informações sobre a nossa infraestrutura:

Minha empresa é quem mantém o Authorization Server, os Resource Servers e os Clients.
Podem haver Clients de terceiros, mas serão restritos a alguns Resources Servers.

Um pouco de Historia:

Recentemente decidimos implementar SSO (Single Sing On) com OAuth2 nos sistemas da minha empresa.

Já tenho um Authorization Server feito com Spring Boot e configurei algumas dos nossos sistemas antigos que ainda usavam Springframework 3.x + JSF como Client, e até ai está tudo funcionando corretamente.

Atualmente estamos no processo de criar um novo frontend em ReactJS para eventualmente depreciar o JSF (por isso tive que fazer o frontend separado do backend).

Minha estratégia foi criar uma api como um Resource Server junto com o Client (JSF) para que os dois compartilhem o lógica de negocio (assim os desenvolvedores que ainda não se familiarizaram com o react podem continuar dando manutenção nas telas em JSF e enquanto isso migramos para o react de pouquinho em pouquinho).

O Problema:

Para fazer o login, eu redireciono o usuário para uma url publica do Resource Server que redireciona o usuário novamente para o Authorization Server com as credenciais do Client (que ficam ocultas dentro do resource server) e depois que o usuário faz o login, todo o processo de obter o response code e trocar pelo access token é feito no backend, no final o usuário é redirecionado de volta para o frontend em react com o token de acesso dentro de um cookie (optei por um cookie em vez de mandar na url apenas para esconder do usuário).

Minha preocupação é que eu tenho que manter o token de acesso no Cookie com httpOnly=false tanto para que eu possa identificar no frontend que o usuário esta logado como também para envia-lo no header Authorization das requisições para o resource server.

Uma das recomendações que mais encontrei para aplicações em ReactJS com login em OAuth2 foi criar um backend para controlar as sessões e guardar o access token no backend, mas todos esses casos são quando o Client utiliza um login social como o do Google, Facebook ou Twitter e não um próprio, ou seja, ele tem que ter um backend para manter as credenciais do Client. Além de que me parece redundante ter criar um backend apenas para esconder token do oauth com o que vai ser essencialmente outro token para identificar a sessão.

TL;DR:

Existe algum perigo em manter apenas o Access Token do OAuth2 dentro de um cookie sem a flag httpOnly?

E se sim, como posso evitar esses perigos?

No meu ponto de vista só é necessário proteger as credenciais do client, afinal, se o usuário tem algum software malicioso no computador dele ou está acessando nosso sistema partir de uma iframe em um site forjado que pode roubar o token armazenado no cookie ou localStorage, o que impede esse mesmo software/site de roubar a senha que o usuário digitou no browser?

2
  • Se o token está no cookie, por que envia-lo no cabeçalho Authorization da requisição? Todos os cookies do cliente são enviados ao servidor que os gerou em todas as requisições. Você precisa de toda essa segunrança? Alguém realmente pode forjar um site falso com um iframe ou criar um malware (ou algo assim) pra tentarem burlar seu site? Se sim, então você provavelmente precisa de uma aplicação desktop e não web, onde opde ter mais controle do cliente
    – Costamilam
    Commented 9/07/2019 às 1:59
  • @Costamilam, ele está utilizando OAuth2, que por padrão envia os tokens através do header da requisição Commented 9/07/2019 às 3:12

1 Resposta 1

4

É interessante você levantar estes dois cenários:

  1. O armazenamento em cookie, vulnerável a CSRF, e também possui uma lista gigante de opções para se prevenir (porém, utilizar cookies é desencorajado pela especificação)
  2. O armazenamento via local storage / secure storage, que é vulnerável a XSS, e que também possui uma lista gigante de opções para se prevenir

Existem dois detalhes importantes na sua implementação:

  • Sua escolha por deixar httpOnly desabilitada automaticamente lhe deixa vulnerável a ataques XSS
  • Talvez a essência do Bearer Token não esteja sendo levada em consideração totalmente

Pense que o Bearer Token (ou token do portador) é a autorização do usuário, com este token sua aplicação entende que o usuário portador é de fato quem se diz ser.

Mas por que o token é confiável?

Para você entregar o token para alguém, ele provou ser quem ele diz para o servidor de autorização através de suas credenciais (clientId e secret).

No caso de um JWT, você o assinou com uma informação sua, para conseguir comprovar que foi você mesmo que gerou aquele token, e quando o usuário mandar para você sua aplicação conseguir verificar se o token não foi alterado.

É um problema deixar o token em local aberto suscetível a ataques?

Sim! De fato, é um grande problema, caso algum atacante consiga o token do seu cliente, ele conseguirá se passar por ele sem nenhum problema.

Inclusive a opção de deixar o token em um cookie é fortemente desencorajada se não tomadas as medidas preventivas adequadas pela RFC6750 - Bearer Token Usage:

Cookies are typically transmitted in the clear.  Thus, any
information contained in them is at risk of disclosure.  Therefore,
bearer tokens MUST NOT be stored in cookies that can be sent in the
clear.  See "HTTP State Management Mechanism" [RFC6265] for security
considerations about cookies.   

...

Don't store bearer tokens in cookies:  Implementations MUST NOT store
  bearer tokens within cookies that can be sent in the clear (which
  is the default transmission mode for cookies).  Implementations
  that do store bearer tokens in cookies MUST take precautions
  against cross-site request forgery.

Mas e agora o que eu faço eu acho que tudo é inseguro irei me desligar da internet

Para nossa alegria, o pessoal que criou o framework OAuth2 nos deu muito material relacionado a segurança.

Você pode ler as considerações de segurança na RFC6749 - OAuth2 Framework, e este assunto é tão extenso que foi criada também a RFC6819 - OAuth2 Threat Model que menciona várias formas de ataque contra o modelo, inclusive roubo de tokens (impersonation attacks).

Algumas das recomendações do framework relacionadas ao token mencionadas na RFC6750 são:

  1. Armazenar os tokens em lugar seguro
  2. Validar a cadeia de certificados TLS dos envolvidos
  3. Sempre utilizar TLS / HTTPS
  4. Não armazenar Bearer Tokens em cookies sem os devidos cuidados
  5. Prover data de validade para os tokens
  6. Prover escopo de atuação para os tokens
  7. Não passar tokens na URL das aplicações

Em resumo

Implementar um framework de autorização como o OAuth2 é um pouco mais complexo que apenas gerar e receber tokens como você pode ver.

Como demonstrei nas especificações, tanto o cookie quanto o local storage possuem considerações de segurança, e você deve pesar qual o custo de prevenção de cada solução. Existem formas de se prevenir contra possíveis ataques para os dois casos (um bom artigo comparando as duas formas é este aqui).

Recomendo você ler as RFCs que mencionei na resposta, elas possuem um ótimo material, bem como exemplos de ataques e prevenções.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .