Ein Authentifizierungstoken ist ein Datenpaket, das eine abgeschlossene Anmeldung bei weiteren Anfragen nachweist. Ohne ihn müsste sich der Nutzer bei jedem Klick neu anmelden.
- Authentifizierungstoken
Ein Datenpaket, das eine abgeschlossene Anmeldung bei weiteren Anfragen nachweist.
Beispiel: „Das Authentifizierungstoken läuft nach fünfzehn Minuten ab und wird im Hintergrund erneuert.“Auch: Auth-Token, Zugriffstoken, Access Token. Ein zweites, langlebiges Stück zum Nachholen heißt Refresh Token.
Abgrenzung zum Security Token: Der weist die Person aus, bevor die Anmeldung erfolgt. Der Authentifizierungstoken entsteht danach.
Wo ein Authentifizierungstoken aufbewahrt wird
An einer von drei Stellen, mit deutlich verschiedenen Folgen. In einem Cookie mit den richtigen Schaltern ist er für JavaScript unerreichbar, siehe Cookie-Sicherheit; im Speicher des Browsers liest ihn jedes eingeschleuste Skript; im Arbeitsspeicher der Anwendung überlebt er das Neuladen der Seite nicht. Die erste Lösung ist für Websites meist die richtige.
Warum die Laufzeit die wichtigste Einstellung ist
Weil sie bestimmt, wie lange ein gestohlener Token nützt. Ein Zeichen mit fünfzehn Minuten Laufzeit ist für einen Angreifer wenig wert; eines mit dreißig Tagen ist ein Dauerzugang. Üblich ist deshalb ein Paar: ein kurzlebiges Zeichen für die Anfragen und ein langlebiges, das ausschließlich zum Erneuern dient und auf dem Server widerrufen werden kann.
Was beim Abmelden passieren muss
Mehr als das Löschen im Browser. Wer nur das Cookie entfernt, hat einen Token zurückgelassen, der weiter gilt; wenn er vorher abgefangen wurde, ändert das Abmelden nichts. Sauber ist das Abmelden erst, wenn der Server das zugehörige langlebige Zeichen ungültig macht. Für Anwendungen mit Single Sign-on gehört dazu die Frage, ob das Abmelden an einer Stelle überall wirken soll.