Autenticazione personalizzata in un'API RESTful - Funzionerà?

Sembra ragionevole se anche il passaggio 5 venga eseguito tramite HTTPS. Per quanto riguarda cosa fare se si sospetta che i token siano stati compromessi, è possibile memorizzare un ExpirationDate per ciascun token e costringere gli utenti a eseguire nuovamente l'autenticazione dopo che il token è scaduto. Sospettando una violazione, espira immediatamente tutti i token immediatamente.

La tua idea di token è soddisfacente, ma l'hashing della password è orribile. Stai usando un hash veloce, il sale aiuta un po 'ma questo è insicuro; dovresti usare una lenta funzione di hashing pensata appositamente per password come bcrypt.

La maggior parte dei framework web fornisce funzioni di autenticazione pronte all'uso che utilizzano i metodi più sicuri disponibili, quindi non reinventare la ruota e affidarsi invece a un codice collaudato ampiamente utilizzato. Non stai ancora utilizzando una struttura? Pensa di usarne uno, ti farà risparmiare parecchio tempo.

1. Come già affermato da André Borie: si prega di utilizzare un algoritmo di hash progettato per le password. Tieni presente che le password che stai memorizzando non sono tue. Sono informazioni molto sensibili fornite dall'utente. Puoi avvisare l'utente di non riutilizzare la password, ma è sbagliato presumere che si adegueranno a questo. Inoltre ti biasimeranno se il tuo servizio viene compromesso e le password vengono incrinate.

2. Considera l'incapsulamento dell'autenticazione in un servizio aggiuntivo separato dalla tua API. Questo può aiutare a ridurre la superficie di attacco.

3. È possibile incapsulare la memoria di sale in un altro sistema che non è raggiungibile da altri host. Lì si crea un servizio che emette un salt per un dato ID utente o qualsiasi altra informazione che è univoca per un account. Se il tuo database viene scaricato, i sali non ne fanno parte, il che rende il cracking quasi impossibile. Per poter accedere a Salt, un utente malintenzionato dovrebbe disporre dei privilegi di esecuzione del codice e delle informazioni di autenticazione per il servizio. (Supponendo che l'attaccante sappia già che stai usando i sali esterni)