چرخش و ابطال توکن‌های JWT برای حالت بی‌حالت

پیاده‌سازی توکن‌های وب JSON (JWT) در معماری‌های بی‌حالت مزایای مقیاس‌پذیری قابل توجهی دارد، اما یک آسیب‌پذیری امنیتی حیاتی را معرفی می‌کند: سرقت توکن. برخلاف سیستم‌های مبتنی بر جلسه، که سرور می‌تواند بلافاصله یک جلسه را از سمت مشتری نامعتبر کند، JWTها خودمختار هستند. یک بار صادر شده، آن‌ها تا زمان انقضا معتبر باقی می‌مانند، حتی اگر سرور تشخیص دهد که کاربر باید خارج شده باشد. این پست استراتژی‌های قوی برای کاهش این خطر از طریق چرخش توکن و ابطال انتخابی را بررسی می‌کند.

دوراهی حالت بی‌حالت

در یک محیط بی‌حالت سنتی، سرور وضعیت کاربر را ذخیره نمی‌کند. JWT به عنوان منبع حقیقت عمل می‌کند و شامل تمام ادعاهای ضروری است. با این حال، اگر مهاجمی یک توکن دسترسی را از طریق XSS یا دستکاری شبکه بدزدد، می‌تواند تا زمان انقضای کوتاه آن از آن استفاده کند. اگرچه محدود کردن عمر توکن دسترسی (مثلاً ۱۵ دقیقه) کمک می‌کند، اما برای تجربه کاربری اصطکاک ایجاد می‌کند. اینجاست که الگوی توکن دسترسی/توکن تازه‌ساز ضروری می‌شود.

با صدور توکن‌های دسترسی کوتاه‌مدت و توکن‌های تازه‌ساز بلندمدت، پنجره فرصت برای مهاجمان را محدود می‌کنیم. توکن دسترسی درخواست‌های API را مدیریت می‌کند، در حالی که توکن تازه‌ساز تنها برای دریافت توکن‌های دسترسی جدید استفاده می‌شود. نکته حیاتی این است که توکن تازه‌ساز باید به طور ایمن ذخیره شود، ترجیحاً در کوکی‌های HTTP-only، برای جلوگیری از دسترسی جاوااسکریپت.

پیاده‌سازی چرخش توکن

چرخش توکن، عملیات صدور یک توکن تازه‌ساز جدید هر بار است که از یک توکن تازه‌ساز استفاده می‌شود. این استراتژی ارزش یک توکن تازه‌ساز دزدیده شده را به حداقل می‌رساند. اگر مهاجمی یک توکن تازه‌ساز را بدزدد، او تنها می‌تواند قبل از اینکه تلاش بعدی کاربر قانونی برای تازه‌سازی، توکن دزدیده شده را نامعتبر کند، یک درخواست انجام دهد.

در اینجا یک نمونه ساده‌شده Node.js که منطق چرخش را نشان می‌دهد آورده شده است:

async function handleRefreshToken(req, res) {
  const { refreshToken } = req.body;
  
  // 1. امضا و انقضای توکن را بررسی کنید
  const decoded = jwt.verify(refreshToken, REFRESH_SECRET);
  
  // 2. بررسی کنید که آیا توکن در انبار ما وجود دارد (Redis)
  const storedToken = await redis.get(`refresh:${decoded.jti}`);
  if (!storedToken) {
    return res.status(401).send('توکن تازه‌ساز ابطال شده یا نامعتبر است');
  }
  
  // 3. صدور توکن‌های دسترسی و تازه‌ساز جدید
  const newAccessToken = generateAccessToken(decoded.userId);
  const newRefreshToken = generateRefreshToken(decoded.userId);
  
  // 4. ذخیره توکن تازه‌ساز جدید و حذف توکن قدیمی
  await redis.setEx(`refresh:${newJti}`, EXPIRY, newRefreshToken);
  await redis.del(`refresh:${decoded.jti}`);
  
  res.json({ accessToken: newAccessToken, refreshToken: newRefreshToken });
}

استراتژی‌های ابطال

علی‌رغم چرخش، سناریوهایی وجود دارد که ابطال فوری ضروری است، مانند تغییر رمز عبور یا گزارش نقض حساب. از آنجا که JWTها بی‌حالت هستند، نمی‌توان آن‌ها را به سادگی "حذف" کرد. ما به روشی برای بررسی اعتبار آن‌ها قبل از اعطای دسترسی نیاز داریم.

۱. توکن‌های دسترسی کوتاه‌مدت

موثرترین راهکار کاهش، نگه داشتن توکن‌های دسترسی بسیار کوتاه‌مدت (۵-۱۵ دقیقه) است. این تضمین می‌کند که حتی اگر توکنی دزدیده شود، مهاجم پنجره بسیار محدودی برای سوءاستفاده از آن دارد. این کار را با چرخش ترکیب کنید تا پنجره فرصت عملاً غیرممکن شود.

۲. لیست سیاه توکن (Denylist)

برای سناریوهایی که نیاز به خروج فوری دارند، می‌توانیم یک لیست سیاه از شناسه‌های توکن ابطال شده (JTI) را نگهداری کنیم. هنگامی که کاربر خارج می‌شود، JTI به یک مجموعه Redis با TTL مطابق با عمر باقی‌مانده توکن اضافه می‌شود. در طول هر درخواست، سرور بررسی می‌کند که آیا JTI در لیست سیاه وجود دارد یا خیر.

function isValidToken(jti, token) {
  // ابتدا لیست سیاه را بررسی کنید
  if (redis.sIsMember('token_denylist', jti)) {
    return false;
  }
  return true;
}

این رویکرد هزینه تأخیر بسیار کمی اضافه می‌کند اما امنیت را تضمین می‌کند. برای سیستم‌های با ترافیک بالا، اطمینان حاصل کنید که عملیات لیست سیاه با استفاده از Redis بهینه شده‌اند، که این بررسی‌ها را با پیچیدگی زمانی O(1) انجام می‌دهد.

نتیجه‌گیری

ایمن‌سازی معماری‌های بی‌حالت نیازمند عبور از صدور ساده JWT است. با ترکیب توکن‌های دسترسی کوتاه‌مدت، چرخش تهاجمی توکن تازه‌ساز و مکانیسم‌های ابطال هدفمند، توسعه‌دهندگان می‌توانند تأثیر سرقت توکن را به طور قابل توجهی کاهش دهند. به یاد داشته باشید، امنیت تعادلی بین قابلیت استفاده و خطر است. پیاده‌سازی این استراتژی‌ها تضمین می‌کند که برنامه شما در برابر تهدیدات مدرن مقاوم باقی بماند بدون اینکه از مزایای مقیاس‌پذیری JWTها بکاهد.