Как Refre sh -Token (JWT) избегает атак среднего человека?

Question

Я недавно внедрил JWT Auth с Do tNet core Identity.

Я знаю, чтобы уменьшить количество аутентификаций для получения Access-Token (когда он истекает через короткое время для большей безопасности), который мы используем Refre sh -Token для обновления токена доступа вместо повторной аутентификации.

Я думаю, если посредник попытается украсть Refre sh -Token для получения нового Access-Token и сделать запрос (маркер перехвата), как система могла бы найти его и отклонить запрос?

Я имею в виду, есть ли решение, если JWT украл кем-то для олицетворения, сервер распознает его и отклонит? (Я знаю, что SSL может помочь, но я думаю о других способах. Например, шифровать JWT по времени и IP или ....?)

Answer 1

Если вы используете двусторонний SSL между сервером и клиентом, ваша проблема в основном спорная. Причина в том, что любой человек посередине, если он найдет способ перехватить, даже не будет знать, где начинается и заканчивается JWT. Вместо этого он просто застрял бы в некотором зашифрованном беспорядке. Гипотетически, если кто-то завладеет JWT, то да, он может выдать себя за одного из ваших пользователей. Это ничем не отличается от того, что кто-то крадет кредитную карту, а затем маскируется под владельца. Но благодаря SSL вероятность этого довольно мала.