Apakah aman untuk menyimpan token akses di penyimpanan lokal

1. Apakah boleh menyimpan token akses di penyimpanan lokal?
2. Di mana saya harus menyimpan token akses saya?
3. Sedang menyimpan JWT di Sort Secure Lokal?
4. Haruskah saya menyimpan token akses dalam database?
5. Apa yang seharusnya tidak Anda simpan di penyimpanan lokal?
6. Apakah penyimpanan lokal lebih aman dari cookie?
7. Dapat mengakses token dicuri?
8. Apa tempat terbaik untuk menyimpan JWT?
9. Apakah penyimpanan lokal rentan terhadap XSS?
10. Apakah penyimpanan lokal rentan terhadap CSRF?
11. Di mana saya harus menyimpan token akses dan menyegarkan token?
12. Di mana Anda menyimpan frontend token akses?
13. Apakah aman untuk menyimpan token refresh dalam database?
14. Berapa lama harus mengakses token terakhir?
15. Jika Anda menyimpan token akses?

Apakah boleh menyimpan token akses di penyimpanan lokal?

Pada sisi negatifnya, LocalStorage berpotensi rentan terhadap serangan scripting site (XSS) lintas situs. Jika penyerang dapat menyuntikkan javascript berbahaya ke halaman web, mereka dapat mencuri token akses di stor localstorage. Juga, tidak seperti cookie, LocalStorage tidak memberikan atribut aman yang dapat Anda tetapkan untuk memblokir serangan.

Di mana saya harus menyimpan token akses saya?

Praktik yang biasa adalah menyimpan token akses di penyimpanan sesi browser atau penyimpanan lokal. Ini karena kita perlu mempertahankan token akses di seluruh halaman ulang halaman, untuk mencegah kebutuhan untuk mengautentikasi kembali pada setiap pemuatan ulang. Ini memberikan pengalaman pengguna yang lebih baik.

Sedang menyimpan JWT di Sort Secure Lokal?

JWT perlu disimpan di tempat yang aman di dalam browser pengguna. Bagaimanapun, Anda tidak boleh menyimpan JWT di penyimpanan lokal (atau penyimpanan sesi). Jika Anda menyimpannya di LocalStorage/SessionStorage maka itu dapat dengan mudah diraih dengan serangan XSS.

Haruskah saya menyimpan token akses dalam database?

Beberapa token akses bertahan satu atau dua jam, dan sangat cocok untuk disimpan di sesi. Lainnya adalah token jangka panjang, misalnya Facebook memberikan token 60 hari, dan ini lebih masuk akal untuk disimpan dalam database. Either way, menyimpan token akan membebaskan kami dari keharusan meminta pengguna untuk mengotorisasi lagi.

Apa yang seharusnya tidak Anda simpan di penyimpanan lokal?

Mengingat vektor potensial di mana aktor jahat dapat mengakses informasi tentang penyimpanan lokal browser Anda, mudah untuk melihat mengapa informasi sensitif seperti informasi yang dapat diidentifikasi secara pribadi (PII), token otentikasi, lokasi pengguna dan kunci API, dll., tidak boleh disimpan di penyimpanan lokal.

Apakah penyimpanan lokal lebih aman dari cookie?

Meskipun cookie masih memiliki beberapa kerentanan, lebih disukai dibandingkan dengan stor localping kapan pun memungkinkan. Mengapa? Baik LocalStorage dan Cookies rentan terhadap serangan XSS, tetapi lebih sulit bagi penyerang untuk melakukan serangan saat Anda menggunakan cookie httponly.

Dapat mengakses token dicuri?

Sementara token ini berguna untuk memungkinkan layanan TI utama, mereka juga rentan terhadap pencurian.

Apa tempat terbaik untuk menyimpan JWT?

JWT harus disimpan dalam cookie. Anda dapat menggunakan bendera httpOnly dan aman tergantung pada kebutuhan Anda. Untuk melindungi dari atribut cookie csrf samesite dapat diatur untuk ketat jika umumnya sesuai dengan aplikasi Anda - itu akan mencegah pengguna yang masuk dari situs Anda untuk mengikuti tautan apa pun ke situs Anda dari situs lain mana pun.

Apakah penyimpanan lokal rentan terhadap XSS?

Serangan XSS menyuntikkan skrip berbahaya ke dalam aplikasi web, dan sayangnya, baik LocalStorage maupun sesi -storage rentan terhadap serangan XSS. Serangan XSS dapat digunakan untuk mendapatkan data dari objek penyimpanan dan menambahkan skrip berbahaya ke data yang disimpan.

Apakah penyimpanan lokal rentan terhadap CSRF?

Baik LocalStorage dan Cookies rentan terhadap serangan XSS, tetapi lebih sulit bagi penyerang untuk melakukan serangan saat Anda menggunakan cookie httponly. Cookie rentan terhadap serangan CSRF, tetapi dapat dikurangi menggunakan bendera sames dan token anti-CSRF.

Di mana saya harus menyimpan token akses dan menyegarkan token?

Jika aplikasi Anda menggunakan rotasi token refresh, sekarang dapat menyimpannya di penyimpanan lokal atau memori browser. Anda dapat menggunakan layanan seperti AUTH0 yang mendukung rotasi token.

Di mana Anda menyimpan frontend token akses?

Di mana saya harus menyimpan token saya di front-end? Ada dua cara umum untuk menyimpan token Anda. Yang pertama berada di LocalStorage dan yang kedua adalah Cookie. Ada banyak perdebatan di mana orang lebih baik dengan kebanyakan orang condong ke arah cookie karena mereka lebih aman.

Apakah aman untuk menyimpan token refresh dalam database?

Jangan menyimpan atau menggunakan token akses oauth atau menyegarkan token di web atau klien seluler. OAuth Access Token dan Token Refresh harus dienkripsi dan disimpan dalam database yang aman. Aplikasi Anda harus menggunakan standar enkripsi yang kuat seperti AES.

Berapa lama harus mengakses token terakhir?

Secara default, token akses berlaku selama 60 hari dan token penyegaran terprogram berlaku selama satu tahun. Anggota harus mengulangi aplikasi Anda saat menyegarkan token kedaluwarsa.

Jika Anda menyimpan token akses?

Token cache

Karena mengambil token baru itu mahal, kami sarankan menggunakan cache token untuk mencegah permintaan yang tidak perlu. Setelah mengambil token, simpan dalam cache dalam memori, seperti memcached, atau ASP bawaan.Layanan cache bersih.