Bom, acima de tudo, para além da questão que levantarei aqui, gostaria de levantar também um debate, os padrões de segurança para autenticação em sistemas não são insuficientes?
Contexto do problema: Preciso implementar um sistema de autenticação de usuário utilizando OAuth e Bearer Authentication para as requisições. Obviamente, para conveniencia do usuário, não será nada agradável exigir uma tela de login por cada requisição.
Problema:
Principal impedimento: O cliente não utiliza protocolo HTTPS (assim como 40% dos domínios brasileiros, contra 8% da taxa mundial)
Em todos estudos que realizei sobre implementações e padrões cheguei nas seguintes conclusões:
Nunca confie em qualquer dado que venha da aplicação do cliente (o que está na máquina do cliente, dá total poder de alteração pelo cliente)
UTILIZE HTTPS, é a unica forma de garantir segurança no transporte da requisição, mesmo que ela seja interceptada por um "man-in-the-middle"
Cuidado máximo com todas as credenciais
Bem, como uma das demandas do cliente é que usuário não tenha que constantemente enviar suas credenciais ao sistema, o que é óbvio, comecei a procurar sobre formas de persistência de credenciais. Ao lado do cliente temos:
- webStorage (localStorage e sessionStorage)
- cookie
Vulnerabilidade principal envolvidas nestas formas de armazenamento:
Ataque de injeção de script (XSS):
Permite que o atacante obtenha acesso aos dados armazenados por um domínio no navegador
Exemplo de JS que obteria todas as chaves localStorage para posterior
iteração sobre elas para obtenção dos valores:Object.entries(localStorage)
Assim podendo então forjar os headers de uma requisição com o token do usuário, fazendo se passar por ele.
man-in-the-middle: Atacante interceptando as requisições durante o transporte delas.
Soluções que encontrei pra esses tipos de vulnerabilidades: Cookies possuem duas flags: httpOnly e secure. httpOnly impede que o cookie seja acessado por qualquer script ao lado do usuário, enquanto ele é acessivel no servidor. Como se não existisse para o usuário (Obs: um diferenciamento de cookies dos outros métodos de armazenamento é que eles são enviados ao servidor em toda requisição do domínio possuidor dos cookies). secure permite o envio dos cookies apenas por requisições HTTPS.
Dadas as limitações que tenho com meu cliente (ele usa apenas http), fico um tanto restrito para as soluções, então comecei a trabalhar no conceito básico de segurança, diminuir ao máximo as vulnerabilidades. Bom, como o padrão Bearer Authentication é enviado pelo header da requisição, me senti limitado de realizar a unica possibilidade que me permitia ver como implementação segura dentro dos meus limites (cookies com httpOnly).
Implementação que pensei: Manter o token sob dupla camada de segurança. Além da criptografia padrão pra evitar que as credenciais do usuário fiquem expostas, passar "outra camada" de criptografia sobre ele. A chave da segunda camada ficaria armazenada em um cookie com a flag httpOnly. O token ficaria armazenado no localStorage, com essa dupla camada. Em toda requisição o token seria inserido no header e então no servidor seria decodificado com a chave da primeira camada que está no cookie e seria gerada através de informações do usuário, e depois a decriptação padrão realizada com a chave do servidor para que então seja realizada a autenticação. Não encontrei nenhuma implementação semelhante, acredito que resolveria o problema de vulnerabilidade para XSS mas tenho dúvidas quanto a possiveis vulnerabilidades e "quebras de padrão". Essa seria a maior dúvida da questão
(Mesmo que um ataque XSS obtenha as credenciais armazenadas na localStorage, o envio delas sem a chave que está no cookie que só pode ser acessado no servidor, não haveria como realizar a autenticação real)
Agora pra finalizar, apenas um desabafo: Na pesquisa sobre vulnerabilidades em "client-side storage" sempre encontrei diversos artigos escritos por especialistas e pesquisadores na area de segurança que afirmavam ser completamente imprudente armazenar credenciais junto ao usuário, mas em nenhum deles era aprensetada uma sugestão de alternativa, enquanto todas implementações que eu encontrei eram feitas com essas vulnerabilidades.
E pra finalizar, uma questão que não sai da minha cabeça:
Os padrões de armazenamento e de envio de credenciais através dos headers das requisições já não é mais um tanto antiquado?