ユーザビリティやセキュリティを犠牲にすることなく、すべてのリクエストで新しいCSRFトークンを生成する方法は？

Question

This articleは、BREACH攻撃を防ぐために、毎回CSRFトークンを変更する必要があることを示唆しています。つまり、gzip/brotliとセッションごとのCSRFトークンとSSLを使用する場合、私たちのトークンはわずか1000件のリクエストで脆弱です。

もしそうだとすると、バック/フォワードと複数のタブを壊すことなく、すべての要求に対してCSRFトークンを再生成する方法を教えてください。

わかりやすい解決策は、正当なCSRFトークンの配列を最新のものではなく、私たちのセッションに格納することです。恐らくそれを100程度に制限します。

しかし、代わりにJWTなどを使用するとどうなりますか？そこにユーザーIDだけを格納し、トークンが期限切れではなく、現在のユーザーに属していることを検証することができます。これをサーバーにまったく格納する必要はありません。唯一の問題は、ユーザーがログアウトしたときにCSRF-JWTを取り消すことができなかったことです。短期的な有効期限が必要ですが、短すぎることも、期限切れになることもありません。形。

この問題にアプローチするにはどうすればよいですか？

Answer 1

JWTを使用してヘッダー内のBearerトークンとして送信し、ローカルストレージに格納することができます。それをクッキーで送信しないでください。リクエストごとに送信し、リクエストごとに有効性をチェックします。ユーザーにログアウト時に取り消すことができる更新トークンをユーザーに与えることができます。リフレッシュトークンは、各呼出しに対して非常に短い期間が経過した後に満了するアクセスJWTを生成する。

JWTを使用して、アクセス制御と必要なすべての認証を行うことができます。