SmartAuth 2.0.58 : sessions volées coupées et déconnexions propagées aux services

Une session volée est coupée en entier

Un jeton de rafraîchissement ne sert qu'une fois : à chaque renouvellement, SmartAuth en émet un nouveau, rattaché au précédent. Si un ancien jeton est présenté de nouveau, SmartAuth y voit un vol et révoque toute la famille.

Cette révocation ne descendait que d'un niveau dans la chaîne des renouvellements. Après deux renouvellements ou plus, le jeton le plus récent, celui qu'utilisait la session en cours, restait valide avec son jeton d'accès. La révocation parcourt maintenant toute la descendance.

Les services connectés apprennent chaque révocation

Les services connectés en SSO valident les jetons d'accès eux-mêmes et n'apprennent une révocation que par la liste qu'ils consultent régulièrement auprès de SmartAuth. Plusieurs chemins révoquaient le jeton sans l'inscrire sur cette liste, et le service l'acceptait encore jusqu'à son expiration, soit une heure au plus :

• le rejeu d'un jeton de rafraîchissement ou d'un code d'autorisation ;
• le changement et la réinitialisation du mot de passe ;
• la déconnexion OIDC, la déconnexion de toutes les sessions et la révocation d'une session depuis la page de compte ;
• la suppression du compte par son titulaire ;
• la révocation demandée par un client selon la RFC 7009.

La publication se fait désormais au coeur des fonctions de révocation, avec un motif, et non plus chez chaque appelant : un nouveau chemin de révocation ne peut plus l'oublier. Les modules qui publiaient déjà leurs révocations, comme capsso à la clôture d'un contrat, continuent de fonctionner sans changement.

Mise à jour

Remplacez le dossier du module ; aucune réactivation n'est nécessaire.