Pentest-Result: Revoke Tokens bei Logout

Bei einem Pentest unserer Masterportal-Intanz wurde empfohlen, die (Refresh) Tokens, die in den Cookies stehen, nicht nur zu löschen, sondern auch zu revoken. Man könnte dies ja z.B. hinter dem Logout-Button verstecken. So wie ich das verstehe, gibt es wohl einen Keycloak-Api-Endpoint hierfür.

‌

Zitat Pentest:

Finding #X
Da es sich beim HTTP Protokoll um ein zustandsloses Protokoll handelt, werden Access Tokens als Identifikationsmerkmal
verwendet, um mehrere zusammengehörige Anfragen eines Benutzers zu erkennen und einer
Sitzung zuzuordnen.
Wie aus dem folgenden Screenshot entnommen werden kann, legt die Anwendung ’GeoService’ Access und
Refresh Tokens als Cookie ab […]
Wenn sich ein Benutzer vom GeoService abmeldet, werden zwar die Cookies im Browser entfernt, aber die
Tokens können noch bis zu ihrem Ablaufdatum verwendet werden. Sofern ein Angreifer die Refresh Tokens
abfangen oder auslesen kann, könnte er trotz einer Benutzerabmeldung unbegrenzt Aktionen in dessen Namen
ausführen.

‌

Comments (4)