3

Estoy desarrollando una API RESTful y quisiera implementar la autenticación por JWT (JSON Web Token).

Al acceder desde un navegador web se crearía un token y se guardaría por ejemplo en sessionStorage o localStorage del cliente, y al cerrar sesión simplemente vaciaría sessionStorage.

El detalle está en que en una app móvil se supone que no deberían cerrar sesión y la app estará funcionando siempre en segundo plano. Para ello, puedo generar un JWT que no expire.

El problema es que si la persona por ejemplo pierde el móvil y cambia la contraseña desde una PC, el token almacenado en el móvil seguiría siendo valido.

¿Cuál sería la solución?

Almacenar los tokens en la base de datos no seria una buena práctica ya que el principio de los JWT es que no se almacenan sólo en el lado del cliente. ¿Cuál sería una posible solución?

1 respuesta 1

0

Hace poco creo recordar que he leído una respuesta a una pregunta similar, aunque con otro planteamiento.

La solución planteada era añadir a los claims una especie de token al estilo csrf asociado al perfil del usuario.

Pero dando un poco de más sentido y funcionalidad a esta respuesta se me ocurre:

A pesar de que el token, por buenas prácticas no se almacene de forma persistente en el servidor, si se tiene que verificar la integridad del mismo y de su información. Y dentro de esta verificación puede integrarse este subtoken. Que puede formar parte de los claimo de la generación de la contraseña para generar el token por ejemplo. Misma contraseña que tienes que utilizar en el servidor para verificarlo.

De modo que al cambiar la contraseña, se genera un nuevo subtoken, alterando la estructura de la contraseña para generar el jwt de este usuario.

Al verificarlo, no daría un resultado positivo, pues la contraseña de verificación simplemente no es la misma generada para el anterior token.

Pierde validez y directamente lo eliminas del almacenamiento del dispositivo.

Esta operación se repite cada vez que se recibe una petición con el token jwt como medio de identificación.

No lo he estudiado en profundidad (aún) y no se si puede tener lagunas en cuanto a seguridad. Pero puede darte una idea de como afrontar la duda que tienes.

Espero que sirva.

2
  • Gracias por tu respuesta, yo había pensado algo parecido, el detalle esta en que aunque no almacene el token entonces debería estar consultando la base de datos con cada petición para verificar si el usuario aun tiene la misma contraseña, por lo que siempre estaría haciendo 2 consultas, una para verificar la integridad del token con la contraseña y otra para obtener el recurso de la BD. Commented el 17 oct. 2016 a las 20:19
  • 1
    El tema base de datos y consultas es otra cosa. Verificar hay que verificar si o si para evitar el uso no autorizado y la comprobar la integridad del token. Si para la verificación tienes que hacer una consulta, se puede estudiar donde almacenar el subtoken de forma que se recupere en dicha consulta y evitar repetidas llamadas. Y no hay que olvidar la cache... que precisamente, entre otras, tiene la función de evitar llamadas recurrentes a la base de datos.
    – OscarR
    Commented el 17 oct. 2016 a las 20:43

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.