Все еще работаете с access token на клиенте? Тогда мы идем к вам
Организация работы с токенами в клиентской части веб-приложений - тема, которая на слуху давно и многократно обсуждалась, однако далеко не для всех современных веб-приложений все еще оцениваются риски в этой части, что приводит к уязвимым реализациям.
В статье рассмотрим причины необходимости работы с токеном на клиенте веб-приложений, узнаем ,что лучше для хранения токена: localStorage, sessionStorage или cookie без флага HttpOnly (спойлер, ничего из этого), а также посмотрим на меры воздействия, которые можно использовать для снижения риска утечки токена посредством различных уязвимостей.
Надеюсь, что данная статья будет полезна разработчикам, тестировщикам, аналитикам и архитекторам, в ней постарался рассмотреть вопрос с разных точек зрения и собрать широкую картину.
Читать далееИсточник: Хабрахабр
Похожие новости
- [Перевод] Анализ активности пользователей Windows
- ВПО DarkWatchman: SFX-архивы, XOR-шифрование и алгоритм генерации доменов
- Гранулярное погружение в атаки на кэш в ARMv8. Разбираем типы атак и митигации
- [Перевод] Метаданные под защитой: как обеспечить кибербезопасность
- Образ классической пиарщицы в российском агентстве. Транзакционный взгляд с щедрой порцией юмора
- Интеграция платформ через Keycloak: SSO и JWT в действии
- CROP media: Бренд-айдентика в SMM: как выделиться в соцсетях + чек-лист от CROP media
- Q2.team: Исповедь SEO-специалиста: 5 заблуждений клиентов, которые тормозят продвижение
- Тринадцатый: Как мы создали брендинг, вдохновленный литературой
- Андрей Громоватый: #Онижедети