Almacenamiento seguro de un token de acceso

Question

¿Qué medidas de seguridad debo implementar para garantizar que, si mi base de datos se viera comprometida, no se puedan robar tokens de acceso de larga duración?

Un token de acceso de larga duración es tan bueno como un nombre de usuario y contraseña para un servicio en particular, pero al hablar con otros parece que la mayoría (incluido yo mismo) tokens de acceso a la tienda en texto plano. Esto parece ser tan malo como almacenar una contraseña en texto plano. Obviamente no se puede sal & hash el token.

Idealmente me gustaría encriptarlos, pero no estoy seguro de la mejor manera de hacerlo, especialmente en un proyecto de código abierto.

Imagino que la respuesta a esta pregunta es similar a la de almacenar información de pago y cumplimiento de PCI, pero también me pregunto por qué no hay más discusión sobre esto. Quizás me estoy perdiendo algo.

Answer 1

¿Simplemente quiere verificar un token proporcionado por otros? Si es así, trátalo como lo harías con una contraseña. Utilice un algoritmo de derivación de bytes como Password Based Key Derivation Function 2 (PBKDF2) (también descrito en RFC 2898) con 10.000 iteraciones y almacene los primeros 20 bytes más o menos. Cuando se recibe el token No es prácticamente reversible.

¿Desea presentar el token a otros para la autenticación? Si es así, esto es un desafío porque, si su aplicación puede descifrar o acceder al token, también lo puede hacer un atacante. Piensa en Maxim de Shannon, el atacante conoce el sistema, especialmente para un proyecto de código abierto.

En este caso, el mejor enfoque es encriptar los tokens con un algoritmo fuerte (ej. AES256), generar claves usando un fuerte generador de números aleatorios criptográficos estándar y almacenar las claves de forma segura en una ubicación diferente a los datos , como en un archivo protegido con permiso fuera de la base de datos en el ejemplo anterior. Esto último significa que los ataques de inyección SQL no revelarán las claves.