Quando si implementa l'autenticazione basata su token, è consigliabile rigenerare i segreti su base periodica? Questo presuppone che i token generati abbiano una scadenza.
Le linee guida generali qui sono; l'accesso alle chiavi segrete deve essere strongmente limitato. Ad esempio, se questo è un segreto codificato, ogni volta che qualcuno che ha accesso alla fonte lascia la società, i segreti devono essere ruotati. I segreti chiaramente hard-coding sono una cattiva pratica, e se i segreti sono stati archiviati correttamente in un HSM / KSM / CloudHSM allora c'è meno pressione per ruotare. Tieni presente che Yahoo ha memorizzato le chiavi per il regno ha un segreto codificato nel controllo del codice sorgente , in modo che chiunque abbia accesso alla fonte possa poi dirottare 32 milioni di account di posta elettronica (battito lento per gli ingegneri della sicurezza di Yahoo).
TLDR; ruota se hai mai motivo di credere che il segreto sia stato compromesso.
Leggi altre domande sui tag session-management