SmartAuth 2.0.58: gestohlene Sitzungen beendet und Abmeldungen an Dienste weitergegeben

Eine gestohlene Sitzung wird vollständig beendet

Ein Refresh-Token dient nur einmal: Bei jeder Verlängerung gibt SmartAuth ein neues aus, das an das vorherige angehängt wird. Wird ein älteres Token erneut vorgelegt, erkennt SmartAuth dies als Diebstahl und widerruft die gesamte Kette.

Diese Widerrufung reichte bisher nur eine Ebene in der Kette der Verlängerungen hinab. Nach zwei oder mehr Verlängerungen blieb das jüngste Token, das von der aktuellen Sitzung genutzt wurde, mit seinem Zugriffstoken gültig. Der Widerruf durchläuft nun die gesamte Abstammung.

Verbundene Dienste erfahren von jedem Widerruf

Die per SSO verbundenen Dienste validieren die Zugriffstoken selbst und erfahren von einem Widerruf nur über die Liste, die sie regelmäßig bei SmartAuth abfragen. Mehrere Wege widerriefen das Token, ohne es in diese Liste einzutragen, und der Dienst akzeptierte es noch bis zu seinem Ablauf, also höchstens eine Stunde:

• die Wiederverwendung eines Refresh-Tokens oder eines Autorisierungscodes;
• die Änderung und das Zurücksetzen des Passworts;
• die OIDC-Abmelde, die Abmeldung aller Sitzungen und der Widerruf einer Sitzung von der Kontoseite;
• die Löschung des Kontos durch seinen Inhaber;
• der von einem Kunden gemäß RFC 7009 angeforderte Widerruf.

Die Veröffentlichung erfolgt nun im Kern der Widerrufsfunktionen mit einem Grund und nicht mehr bei jedem Aufrufer: Ein neuer Widerrufsweg kann sie nicht mehr vergessen. Module, die ihre Widerrufe bereits veröffentlichten, wie capsso bei der Beendigung eines Vertrags, funktionieren weiterhin ohne Änderung.

Aktualisierung

Ersetzen Sie das Modulverzeichnis; eine erneute Aktivierung ist nicht erforderlich.