SmartAuth 2.0.58: sessões roubadas encerradas e desconexões propagadas aos serviços

Uma sessão roubada é encerrada por completo

Um token de renovação só é usado uma vez: a cada renovação, SmartAuth emite um novo, ligado ao anterior. Se um token antigo for apresentado novamente, SmartAuth deteta um roubo e revoga toda a família.

Esta revogação só descia um nível na cadeia de renovações. Após duas renovações ou mais, o token mais recente, aquele que a sessão em curso utilizava, permanecia válido com o seu token de acesso. A revogação percorre agora toda a descendência.

Os serviços conectados recebem cada revogação

Os serviços conectados em SSO validam os tokens de acesso eles próprios e só recebem uma revogação através da lista que consultam regularmente junto do SmartAuth. Vários caminhos revogavam o token sem o inscrever nesta lista, e o serviço ainda o aceitava até à sua expiração, ou seja, até uma hora no máximo:

• a reutilização de um token de renovação ou de um código de autorização;
• a alteração e a reposição da palavra-passe;
• a desconexão OIDC, a desconexão de todas as sessões e a revogação de uma sessão a partir da página da conta;
• a eliminação da conta pelo seu titular;
• a revogação solicitada por um cliente segundo a RFC 7009.

A publicação é agora feita no núcleo das funções de revogação, com um motivo, e não em cada chamador: um novo caminho de revogação não pode mais esquecê-lo. Os módulos que já publicavam as suas revogações, como capsso no encerramento de um contrato, continuam a funcionar sem alterações.

Atualização

Substitua a pasta do módulo; não é necessária qualquer reativação.