सत्र टोकन सुरक्षा parse.com

Question

मैं पिछले कुछ महीनों में पार्स पर एक ऐप (आईओएस और वेब ऐप) बना रहा हूं और केवल यह पता चला है कि उनके सत्र टोकन कैसे काम करते हैं। यह मैं अब तक क्या सीखा है है:

• प्रत्येक उपयोगकर्ता अपना स्वयं सत्र टोकन है
• टोकन उपयोगकर्ता क्रेडेंशियल (प्रमाणीकरण के लिए) कभी नहीं बदलने के लिए जब सर्वर
• टोकन का अनुरोध करने की प्रयोग किया जाता है परिवर्तन (यहां तक ​​कि जब पासवर्ड रीसेट हो जाता है) और कभी भी समाप्त नहीं होता
• टोकन
• में लॉग इन होने पर क्लाइंट पक्ष पर स्थानीय रूप से संग्रहीत किया जाता है उपयोगकर्ता को Parse.User.become (sessiontoken, विकल्प) विधि का उपयोग करके लॉग इन किया जा सकता है, केवल सत्र टोकन

यह मेरे लिए बहुत असुरक्षित लगता है, या क्या मुझे कुछ याद आ रहा है? ऐसा लगता है कि अगर कोई इस टोकन को प्राप्त करने का प्रबंधन करता है तो उनके पास उपयोगकर्ता खाते में अनन्त पहुंच है, भले ही उपयोगकर्ता नाम और/या पासवर्ड बदल गए हों?

धन्यवाद,

मारियो

Answer 1

ऐसा लगता है कि उन्होंने अभी अपने सिस्टम को रद्द करने योग्य उपयोगकर्ता सत्रों का उपयोग करने के लिए अद्यतन किया है। अच्छा एक पार्स!

http://blog.parse.com/2015/03/25/announcing-new-enhanced-sessions

Answer 2

मैं भी डबल सत्र टोकन REST API & एंड्रॉयड ग्राहक से लौटे जाँच कर ली है। यह समान हे। पासवर्ड बदलने के बाद भी।

यह निश्चित रूप से एक संभावित सुरक्षा समस्या है। मोबाइल डिवाइस की कोई भी चोरी हो गई है, यदि सत्र एन्क्रिप्ट नहीं किया गया है और उपयोगकर्ता डेटा की सुरक्षा हमेशा के लिए खतरे में है तो हैकर सत्र टोकन प्राप्त कर सकता है।

चूंकि हैकर हमेशा किसी भी क्लाइंट से सत्र टोकन का उपयोग कर सकता है। जब आप हैकर बुराई करेगा तो आपको कभी पता नहीं चलेगा। मैं इस मुद्दे के बारे में गंभीरता से चिंतित हूं। उम्मीद है कि कोई इसे संबोधित करेगा।

पीएस: हाय मारियो, मैंने फेसबुक डेवलपर प्लेटफॉर्म पर कोई समस्या दर्ज की है।

https://developers.facebook.com/bugs/309490399239393/

आशा किसी को यह ट्रैक और यह अंततः समाधान हो जाएगा।