2

A um tempo eu utilizo o Json Web Token (JWT) para fazer todo o processo de autenticação da maioria dos sistemas em que trabalho em Node.js.

Mas hoje, desenvolvendo um dos meus projetos pessoais, dei uma olhada no processo de verificação do token, me deparei com o tal do expiresIn e fiquei com algumas dúvidas:

  • Se eu quiser deixar o tempo máximo de expiração, há riscos para a segurança do sistema?
  • Há algum tempo determinado "padrão" para a expiração de tokens?

Exemplo de sign do JWT

const token = jwt.sign({ id: user.result[0].id }, authConfig.secret, {
  expiresIn: 86400,
});

Bom, eu andei pesquisando dentro da documentação da biblioteca e nada respondeu exatamente o que eu gostaria de saber.

2
  • Se você só está colocando o ID do usuário no JWT, porque não usa simplesmente uma sessão no back-end? Commented 6/10/2019 às 20:39
  • 1
    Pois se trata de uma API, é necessário o token de autenticação. Sem contar os fatores de segurança. Commented 6/10/2019 às 21:09

2 Respostas 2

1
  • "Se eu quiser deixar o tempo máximo de expiração, há riscos para a segurança do sistema?"

Existe o risco de alguém conseguir "roubar" o teu JWT token. Como o token não expira, ele pode ser usado para sempre para autenticar aquele usuário.

O mesmo ataque pode acontencer com um token que tem um tempo de expiração, mas o impacto acaba sendo menor porque o token "roubado" vai ser inútil depois de um tempo.

Não é um ataque simples de ser feito e o mesmo pode ser mitigado de outras formas, não só definindo um expiresIn, como usando HTTPS pra dificultar ataques "man-in-the-middle".

  • "Há algum tempo determinado "padrão" para a expiração de tokens?"

Não. Se o parâmetro não é definido, o JWT tem "duração infinita".

Não existe uma regra pra definir o tempo e depende de caso pra caso. É comum pensar no caso de uso do usuário e definir o tempo com base nisso, por exemplo:

O usuário é um funcionário da empresa que normalmente trabalha 8 horas por dia. Nesse caso, um valor razoável pro expiresIn é 8 horas.

-2

Na realidade, para tokens de acesso (Access Token) é interessante que você deixe o tempo de expiração no mínimo! O padrão é entre 15 minutos e 30 minutos.

"Ah mas aí meu usuário teria que ficar realizando o login a cada 15 minutos?" Não necessariamente, você poderia implementar uma estratégia de atualização de tokens, dá uma olhada em Refresh Token.

De forma rápida, o Refresh Token é um token de expiração maior que o Access Token (24 horas por exemplo) e ele será o responsável por atualizar o token sem que o usuário precise obrigatoriamente informar o email e a senha para se autenticar na aplicação e gerar um novo JWT (Access Token).

Essa estratégia é mais segura e vale muito à pana.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .