SmartAuth 2.0.58: sessioni rubate interrotte e disconnessioni propagate ai servizi

Una sessione rubata viene interrotta per intero

Un token di refresh viene utilizzato una sola volta: ad ogni rinnovo, SmartAuth ne emette uno nuovo, collegato al precedente. Se un token precedente viene presentato nuovamente, SmartAuth lo considera un furto e revoca l'intera famiglia.

Questa revoca scendeva solo di un livello nella catena dei rinnovi. Dopo due rinnovi o più, il token più recente, quello utilizzato dalla sessione in corso, rimaneva valido con il suo token di accesso. Ora la revoca percorre tutta la discendenza.

I servizi connessi apprendono ogni revoca

I servizi connessi in SSO convalidano i token di accesso autonomamente e apprendono una revoca solo tramite l'elenco che consultano regolarmente presso SmartAuth. Diversi percorsi revocavano il token senza registrarlo su questo elenco, e il servizio lo accettava ancora fino alla sua scadenza, ovvero un'ora al massimo:

• la riproduzione di un token di refresh o di un codice di autorizzazione;
• il cambio e il reset della password;
• la disconnessione OIDC, la disconnessione di tutte le sessioni e la revoca di una sessione dalla pagina dell'account;
• l'eliminazione dell'account da parte del titolare;
• la revoca richiesta da un cliente secondo la RFC 7009.

La pubblicazione avviene ora al centro delle funzioni di revoca, con un motivo, e non più in ogni chiamante: un nuovo percorso di revoca non può più dimenticarlo. I moduli che pubblicavano già le loro revoche, come capsso alla chiusura di un contratto, continuano a funzionare senza modifiche.

Aggiornamento

Sostituite la cartella del modulo; non è necessaria alcuna riattivazione.