JWT + OAuth2 + ADFS 3.0 + 모바일 + API

Question

ADFS 3.0에서 발행 한 JWT 토큰으로 보안 된 모바일 앱과 API를 구축하고 있습니다. 모바일 앱은 ADFS에 OAuth2 클라이언트로 등록됩니다. 누군가 JWT 토큰을 가로 챌 수 있고 API를 악의적으로 액세스하는 데 사용할 수 있을지 걱정됩니다.

제 질문은 API를 보호하기에 충분합니까?

Answer 1

토큰은 실제로 민감하지만 몇 가지 요인으로 완화됩니다.

1. 토큰은 인증 헤더로 전달됩니다. 헤더가 암호화되어 안전하기 때문에 https 호출을 통해서만 전달해야하는 이유입니다.

2. 토큰은 잠시 동안 만 유효합니다.이 값을 원하는 값으로 설정할 수 있습니다. 예를 들어 1 시간 동안 설정했습니다. 누군가 토큰을 받았다하더라도, 그 토큰은 유효 기간이 지나면 사용할 수 있습니다.

토큰을 생성하는 방법도 보호해야합니다. ClientID와 ClientSecret을 안전하게 유지하십시오. 요격 할 수있는 URL과 같이 전달하지 마십시오.

이 모든 작업을 수행하면 누구나 인터넷에 연결될 수 있으므로 안전합니다.

마지막으로 한 점은 데이터베이스에 토큰을 저장하려는 사람들이 있습니다. 나는 그것을 반대하는 것이 좋습니다. 만료 될 때까지 재사용 할 수 있도록 안전한 방법으로 클라이언트 응용 프로그램에 보관하십시오.하지만 도난 당하거나 해킹 당할 수있는 기존 저장소를 사용하지 마십시오.