Ako správne generovať tokeny autorizácie? Čo by malo byť v tokenu, aby ste sa chránili pred útokmi hrubou silou?

Pravilná generácia autorizačných tokenov by mala zabezpečiť jedinečnosť, bezpečnosť a ochranu pred útokmi hrubou silou (brute force). Zvyčajne sa používajú kryptograficky bezpečné náhodné hodnoty alebo JWT s podpisom.

Čo by malo byť vo vnútri tokenu na ochranu pred brute force:

• Unikátny identifikátor (napríklad náhodné UUID alebo nonce), aby sa tokeny neopakovali.
• Časová značka alebo doba platnosti (expiration), aby sa obmedzila doba života tokenu.
• Digitálny podpis alebo HMAC, aby sa zabránilo falšovaniu tokenu.
• Minimálne informácie, ktoré sú potrebné na autentifikáciu, bez nadbytočných dát.

Príklad generovania tokenu pomocou Pythonu a knižnice secrets:

import secrets
import time

def generate_token():
    token = secrets.token_urlsafe(32)  # kryptograficky bezpečný náhodný token
    expiration = int(time.time()) + 3600  # token je platný 1 hodinu
    return {'token': token, 'expires_at': expiration}

Na ochranu pred útokmi hrubou silou je tiež dôležité obmedziť počet pokusov a používať mechanizmy blokovania alebo oneskorenia.