لمنع هذه الأنواع من الهجمات، تستخدم DPoP التشفير لربط الرموز بزوج مفاتيح غير متماثل يولده العميل. ونتيجة لذلك، لا يمكن إعادة استخدام الرمز المسروق بدون المفتاح الخاص المقابل، والذي يظل تحت سيطرة العميل.
تدعم منصة جوجل OAuth آلية DPoP لرموز التحديث فقط، بينما تظل رموز الوصول، التي تكون أقصر عمرًا، رموزًا حاملة قياسية. يعود هذا القرار إلى حقيقة أن رموز التحديث طويلة الأمد هي "الناقل الأساسي لانتحال الشخصية المستمر عبر الإنترنت". في المقابل، فإن تطبيق DPoP على رموز الوصول من شأنه أن يؤدي إلى "عبء تحقق تشفيري غير متماثل" لكل طلب.
ما هي متطلبات DPoP من جانب العميل؟
بينما توفر DPoP حماية لرموز API، فإنها لا تحمي ملفات تعريف الارتباط الخاصة بجلسات تطبيقات الويب القياسية، والتي تظل عرضة لبرامج سرقة المعلومات الخبيثة. لمعالجة تهديد سرقة ملفات تعريف الارتباط، تعمل جوجل ومجموعة مجتمع حاضنة الويب (WICG) على تطوير Device Bound Session Credentials (DBSC). تعمل DBSC على مستوى المتصفح وطبقة الشبكة لربط ملفات تعريف الارتباط الخاصة بجلسات المتصفح تشفيريًا بأجهزة الجهاز (مثل TPM). معًا، تشكل DPoP و DBSC "استراتيجية دفاع شاملة ومتعمقة" ضد سرقة بيانات الاعتماد عبر كل من جلسات API وجلسات المستخدم المستندة إلى الويب.
هل تناسب DPoP جميع سيناريوهات العمل؟
سيتطلب ذلك من الوكيل الثاني توقيع الطلبات نيابة عن الأول. ومع ذلك، هذا غير ممكن بدون الوصول إلى المفتاح الخاص الذي يولده الوكيل الأول، مما ينتهك DPoP. كبديل، توصي جوجل المطورين بالنظر في Google Cloud Secure Token Service (STS). من خلال توجيه التفويض عبر STS، يمكن للوكيل الوسيط استبدال الرمز الأصلي برمز موحد جديد وقصير الأمد مرتبط تشفيريًا بزوج مفاتيحه المحلي، مما يحافظ على نموذج الأمان المقيد بالمرسل عبر سلسلة الوكلاء بأكملها دون الكشف عن المفتاح.
نظرًا لأن المفتاح الخاص لـ DPoP يُخزن من جانب العميل، فإن أمانه يعتمد في النهاية على أمان العميل نفسه. ومع ذلك، كما يجادل Dhruv Agnihotri، فإن تطبيقات الصفحة الواحدة (SPAs) التي تعمل داخل المتصفح ليست محمية بالكامل ضد إساءة استخدام المفتاح. لذلك، توصي إرشادات IETF للتطبيقات المستندة إلى المتصفح بتبني نمط Backend-for-Frontend لإبقاء الرموز والمفاتيح التشفيرية خارج المتصفح. يقترح Agnihotri أيضًا نهجًا عديم الثبات (zero-persistence) قد يكون مفيدًا عندما تكون البنية التحتية من جانب الخادم غير متاحة.
جرّب الأداة: محلل رموز JWT
