SmartAuth 2.0.58: gestolen sessies beëindigd en afmeldingen doorgegeven aan diensten

Een gestolen sessie wordt volledig beëindigd

Een vernieuwingstoken wordt slechts één keer gebruikt: bij elke vernieuwing geeft SmartAuth een nieuw token uit, gekoppeld aan het vorige. Als een oud token opnieuw wordt aangeboden, ziet SmartAuth dit als diefstal en trekt de hele reeks in.

Deze intrekking ging slechts één niveau diep in de keten van vernieuwingen. Na twee of meer vernieuwingen bleef het meest recente token, dat door de lopende sessie werd gebruikt, geldig met zijn toegangstoken. De intrekking doorloopt nu de volledige afstamming.

Verbonden diensten vernemen elke intrekking

Diensten die via SSO zijn verbonden, valideren zelf de toegangstokens en vernemen een intrekking alleen via de lijst die ze regelmatig bij SmartAuth raadplegen. Verschillende wegen trokken het token in zonder het op deze lijst te zetten, en de dienst aanvaardde het nog tot het verstreek, maximaal een uur:

• het hergebruik van een vernieuwingstoken of een autorisatiecode;
• de wijziging en het resetten van het wachtwoord;
• de OIDC-afmelding, de afmelding van alle sessies en de intrekking van een sessie vanaf de accountpagina;
• het verwijderen van het account door de eigenaar;
• de intrekking aangevraagd door een cliënt volgens RFC 7009.

De publicatie gebeurt nu in de kern van de intrekkingsfuncties, met een reden, en niet meer bij elke aanroeper: een nieuwe intrekkingsweg kan het niet meer vergeten. Modules die hun intrekkingen al publiceerden, zoals capsso bij het beëindigen van een contract, blijven zonder wijziging werken.

Update

Vervang de map van de module; geen heractivering is nodig.