เซสชันการตรวจสอบสิทธิ์ Firebase มีอายุการใช้งานยาวนาน ทุกครั้งที่ผู้ใช้ลงชื่อเข้าใช้ ข้อมูลรับรองผู้ใช้จะถูกส่งไปยังแบ็กเอนด์ Firebase Authentication และแลกเปลี่ยนเป็นโทเค็น Firebase ID (JWT) และโทเค็นการรีเฟรช โทเค็นรหัส Firebase มีอายุสั้นและคงอยู่ได้หนึ่งชั่วโมง โทเค็นการรีเฟรชสามารถใช้เพื่อดึงโทเค็น ID ใหม่ได้ โทเค็นการรีเฟรชจะหมดอายุเมื่อเกิดเหตุการณ์อย่างใดอย่างหนึ่งต่อไปนี้เท่านั้น:
- ผู้ใช้ถูกลบ
- ผู้ใช้ถูกปิดการใช้งาน
- ตรวจพบการเปลี่ยนแปลงบัญชีที่สำคัญสำหรับผู้ใช้ ซึ่งรวมถึงกิจกรรมต่างๆ เช่น การอัปเดตรหัสผ่านหรือที่อยู่อีเมล
Firebase Admin SDK ให้ความสามารถในการเพิกถอนโทเค็นการรีเฟรชสำหรับผู้ใช้ที่ระบุ นอกจากนี้ ยังมี API เพื่อตรวจสอบการเพิกถอนโทเค็น ID อีกด้วย ด้วยความสามารถเหล่านี้ คุณจะสามารถควบคุมเซสชันผู้ใช้ได้มากขึ้น SDK ให้ความสามารถในการเพิ่มข้อจำกัดเพื่อป้องกันไม่ให้มีการใช้เซสชันในสถานการณ์ที่น่าสงสัย เช่นเดียวกับกลไกในการกู้คืนจากการขโมยโทเค็นที่อาจเกิดขึ้น
เพิกถอนโทเค็นการรีเฟรช
คุณอาจเพิกถอนโทเค็นการรีเฟรชที่มีอยู่ของผู้ใช้เมื่อผู้ใช้รายงานอุปกรณ์ที่สูญหายหรือถูกขโมย ในทำนองเดียวกัน หากคุณค้นพบช่องโหว่ทั่วไปหรือสงสัยว่ามีโทเค็นที่ใช้งานรั่วไหลในวงกว้าง คุณสามารถใช้ listUsers
API เพื่อค้นหาผู้ใช้ทั้งหมดและเพิกถอนโทเค็นของพวกเขาสำหรับโปรเจ็กต์ที่ระบุได้
การรีเซ็ตรหัสผ่านจะเพิกถอนโทเค็นที่มีอยู่ของผู้ใช้ด้วย อย่างไรก็ตาม แบ็กเอนด์ Firebase Authentication จะจัดการการเพิกถอนโดยอัตโนมัติในกรณีนั้น เมื่อเพิกถอน ผู้ใช้จะออกจากระบบและได้รับแจ้งให้ตรวจสอบสิทธิ์อีกครั้ง
ต่อไปนี้คือตัวอย่างการใช้งานที่ใช้ Admin SDK เพื่อเพิกถอนโทเค็นการรีเฟรชของผู้ใช้ที่กำหนด ในการเริ่มต้น Admin SDK ให้ทำตามคำแนะนำใน หน้าการตั้งค่า
โหนด js
// Revoke all refresh tokens for a specified user for whatever reason.
// Retrieve the timestamp of the revocation, in seconds since the epoch.
getAuth()
.revokeRefreshTokens(uid)
.then(() => {
return getAuth().getUser(uid);
})
.then((userRecord) => {
return new Date(userRecord.tokensValidAfterTime).getTime() / 1000;
})
.then((timestamp) => {
console.log(`Tokens revoked at: ${timestamp}`);
});
ชวา
FirebaseAuth.getInstance().revokeRefreshTokens(uid);
UserRecord user = FirebaseAuth.getInstance().getUser(uid);
// Convert to seconds as the auth_time in the token claims is in seconds too.
long revocationSecond = user.getTokensValidAfterTimestamp() / 1000;
System.out.println("Tokens revoked at: " + revocationSecond);
หลาม
# Revoke tokens on the backend.
auth.revoke_refresh_tokens(uid)
user = auth.get_user(uid)
# Convert to seconds as the auth_time in the token claims is in seconds.
revocation_second = user.tokens_valid_after_timestamp / 1000
print('Tokens revoked at: {0}'.format(revocation_second))
ไป
client, err := app.Auth(ctx)
if err != nil {
log.Fatalf("error getting Auth client: %v\n", err)
}
if err := client.RevokeRefreshTokens(ctx, uid); err != nil {
log.Fatalf("error revoking tokens for user: %v, %v\n", uid, err)
}
// accessing the user's TokenValidAfter
u, err := client.GetUser(ctx, uid)
if err != nil {
log.Fatalf("error getting user %s: %v\n", uid, err)
}
timestamp := u.TokensValidAfterMillis / 1000
log.Printf("the refresh tokens were revoked at: %d (UTC seconds) ", timestamp)
ค#
await FirebaseAuth.DefaultInstance.RevokeRefreshTokensAsync(uid);
var user = await FirebaseAuth.DefaultInstance.GetUserAsync(uid);
Console.WriteLine("Tokens revoked at: " + user.TokensValidAfterTimestamp);
ตรวจจับการเพิกถอนโทเค็น ID
เนื่องจากโทเค็น Firebase ID นั้นเป็น JWT ที่ไม่มีสถานะ คุณจึงระบุได้ว่าโทเค็นถูกเพิกถอนได้โดยการขอสถานะของโทเค็นจากแบ็กเอนด์ Firebase Authentication เท่านั้น ด้วยเหตุนี้ การตรวจสอบนี้บนเซิร์ฟเวอร์ของคุณจึงเป็นการดำเนินการที่มีราคาแพง และต้องมีเครือข่ายไปกลับเพิ่มเติม คุณสามารถหลีกเลี่ยงการส่งคำขอเครือข่ายนี้ได้โดยตั้งค่ากฎความปลอดภัยของ Firebase ที่ตรวจสอบการเพิกถอน แทนที่จะใช้ Admin SDK เพื่อทำการตรวจสอบ
ตรวจจับการเพิกถอนโทเค็น ID ในกฎความปลอดภัยของ Firebase
เพื่อให้สามารถตรวจจับการเพิกถอนโทเค็น ID โดยใช้กฎความปลอดภัย เราต้องจัดเก็บข้อมูลเมตาเฉพาะผู้ใช้บางส่วนก่อน
อัปเดตข้อมูลเมตาเฉพาะผู้ใช้ในฐานข้อมูลเรียลไทม์ของ Firebase
บันทึกการประทับเวลาการเพิกถอนโทเค็นการรีเฟรช สิ่งนี้จำเป็นสำหรับการติดตามการเพิกถอนโทเค็น ID ผ่านกฎความปลอดภัยของ Firebase ช่วยให้สามารถตรวจสอบภายในฐานข้อมูลได้อย่างมีประสิทธิภาพ ในตัวอย่างโค้ดด้านล่าง ให้ใช้ uid และเวลาการเพิกถอนที่ได้รับใน ส่วนก่อนหน้า
โหนด js
const metadataRef = getDatabase().ref('metadata/' + uid);
metadataRef.set({ revokeTime: utcRevocationTimeSecs }).then(() => {
console.log('Database updated successfully.');
});
ชวา
DatabaseReference ref = FirebaseDatabase.getInstance().getReference("metadata/" + uid);
Map<String, Object> userData = new HashMap<>();
userData.put("revokeTime", revocationSecond);
ref.setValueAsync(userData);
หลาม
metadata_ref = firebase_admin.db.reference("metadata/" + uid)
metadata_ref.set({'revokeTime': revocation_second})
เพิ่มการตรวจสอบกฎความปลอดภัยของ Firebase
หากต้องการบังคับใช้การตรวจสอบนี้ ให้ตั้งค่ากฎที่ไม่มีสิทธิ์การเขียนไคลเอ็นต์เพื่อจัดเก็บเวลาการเพิกถอนต่อผู้ใช้ ซึ่งสามารถอัปเดตได้ด้วยการประทับเวลา UTC ของเวลาการเพิกถอนครั้งล่าสุดดังที่แสดงในตัวอย่างก่อนหน้านี้:
{
"rules": {
"metadata": {
"$user_id": {
// this could be false as it is only accessed from backend or rules.
".read": "$user_id === auth.uid",
".write": "false",
}
}
}
}
ข้อมูลใดๆ ที่ต้องมีการเข้าถึงที่ผ่านการรับรองความถูกต้องจะต้องมีการกำหนดค่ากฎต่อไปนี้ ตรรกะนี้อนุญาตให้ผู้ใช้ที่ได้รับการรับรองความถูกต้องด้วยโทเค็น ID ที่ไม่ถูกเพิกถอนสามารถเข้าถึงข้อมูลที่ได้รับการป้องกันเท่านั้น:
{
"rules": {
"users": {
"$user_id": {
".read": "auth != null && $user_id === auth.uid && (
!root.child('metadata').child(auth.uid).child('revokeTime').exists()
|| auth.token.auth_time > root.child('metadata').child(auth.uid).child('revokeTime').val()
)",
".write": "auth != null && $user_id === auth.uid && (
!root.child('metadata').child(auth.uid).child('revokeTime').exists()
|| auth.token.auth_time > root.child('metadata').child(auth.uid).child('revokeTime').val()
)",
}
}
}
}
ตรวจจับการเพิกถอนโทเค็น ID ใน SDK
ในเซิร์ฟเวอร์ของคุณ ให้ใช้ตรรกะต่อไปนี้สำหรับการเพิกถอนโทเค็นการรีเฟรชและการตรวจสอบโทเค็น ID:
เมื่อโทเค็น ID ของผู้ใช้ได้รับการตรวจสอบ จะต้องส่งแฟล็ก checkRevoked
boolean เพิ่มเติมไปยัง verifyIdToken
หากโทเค็นของผู้ใช้ถูกเพิกถอน ผู้ใช้ควรออกจากระบบบนไคลเอ็นต์หรือขอให้ตรวจสอบสิทธิ์อีกครั้งโดยใช้ API การตรวจสอบสิทธิ์ซ้ำที่จัดทำโดย SDK ไคลเอ็นต์ Firebase Authentication
หากต้องการเริ่มต้น Admin SDK สำหรับแพลตฟอร์มของคุณ ให้ทำตามคำแนะนำใน หน้าการตั้งค่า ตัวอย่างการดึงโทเค็น ID อยู่ในส่วน verifyIdToken
โหนด js
// Verify the ID token while checking if the token is revoked by passing
// checkRevoked true.
let checkRevoked = true;
getAuth()
.verifyIdToken(idToken, checkRevoked)
.then((payload) => {
// Token is valid.
})
.catch((error) => {
if (error.code == 'auth/id-token-revoked') {
// Token has been revoked. Inform the user to reauthenticate or signOut() the user.
} else {
// Token is invalid.
}
});
ชวา
try {
// Verify the ID token while checking if the token is revoked by passing checkRevoked
// as true.
boolean checkRevoked = true;
FirebaseToken decodedToken = FirebaseAuth.getInstance()
.verifyIdToken(idToken, checkRevoked);
// Token is valid and not revoked.
String uid = decodedToken.getUid();
} catch (FirebaseAuthException e) {
if (e.getAuthErrorCode() == AuthErrorCode.REVOKED_ID_TOKEN) {
// Token has been revoked. Inform the user to re-authenticate or signOut() the user.
} else {
// Token is invalid.
}
}
หลาม
try:
# Verify the ID token while checking if the token is revoked by
# passing check_revoked=True.
decoded_token = auth.verify_id_token(id_token, check_revoked=True)
# Token is valid and not revoked.
uid = decoded_token['uid']
except auth.RevokedIdTokenError:
# Token revoked, inform the user to reauthenticate or signOut().
pass
except auth.UserDisabledError:
# Token belongs to a disabled user record.
pass
except auth.InvalidIdTokenError:
# Token is invalid
pass
ไป
client, err := app.Auth(ctx)
if err != nil {
log.Fatalf("error getting Auth client: %v\n", err)
}
token, err := client.VerifyIDTokenAndCheckRevoked(ctx, idToken)
if err != nil {
if err.Error() == "ID token has been revoked" {
// Token is revoked. Inform the user to reauthenticate or signOut() the user.
} else {
// Token is invalid
}
}
log.Printf("Verified ID token: %v\n", token)
ค#
try
{
// Verify the ID token while checking if the token is revoked by passing checkRevoked
// as true.
bool checkRevoked = true;
var decodedToken = await FirebaseAuth.DefaultInstance.VerifyIdTokenAsync(
idToken, checkRevoked);
// Token is valid and not revoked.
string uid = decodedToken.Uid;
}
catch (FirebaseAuthException ex)
{
if (ex.AuthErrorCode == AuthErrorCode.RevokedIdToken)
{
// Token has been revoked. Inform the user to re-authenticate or signOut() the user.
}
else
{
// Token is invalid.
}
}
ตอบสนองต่อการเพิกถอนโทเค็นบนไคลเอ็นต์
หากโทเค็นถูกเพิกถอนผ่าน Admin SDK ไคลเอ็นต์จะได้รับแจ้งการเพิกถอนและผู้ใช้จะต้องตรวจสอบสิทธิ์อีกครั้งหรือออกจากระบบ:
function onIdTokenRevocation() {
// For an email/password user. Prompt the user for the password again.
let password = prompt('Please provide your password for reauthentication');
let credential = firebase.auth.EmailAuthProvider.credential(
firebase.auth().currentUser.email, password);
firebase.auth().currentUser.reauthenticateWithCredential(credential)
.then(result => {
// User successfully reauthenticated. New ID tokens should be valid.
})
.catch(error => {
// An error occurred.
});
}
การรักษาความปลอดภัยขั้นสูง: บังคับใช้ข้อจำกัดที่อยู่ IP
กลไกการรักษาความปลอดภัยทั่วไปสำหรับการตรวจจับการโจรกรรมโทเค็นคือการติดตามที่มาของที่อยู่ IP ของคำขอ ตัวอย่างเช่น หากคำขอมาจากที่อยู่ IP เดียวกันเสมอ (เซิร์ฟเวอร์ที่ทำการโทร) ก็สามารถบังคับใช้เซสชันที่อยู่ IP เดียวได้ หรือคุณอาจเพิกถอนโทเค็นของผู้ใช้หากตรวจพบว่าที่อยู่ IP ของผู้ใช้เปลี่ยนตำแหน่งทางภูมิศาสตร์กะทันหัน หรือคุณได้รับคำขอจากแหล่งที่มาที่น่าสงสัย
ในการดำเนินการตรวจสอบความปลอดภัยตามที่อยู่ IP สำหรับทุกคำขอที่ได้รับการตรวจสอบสิทธิ์ ให้ตรวจสอบโทเค็น ID และตรวจสอบว่าที่อยู่ IP ของคำขอตรงกับที่อยู่ IP ที่เชื่อถือได้ก่อนหน้าหรืออยู่ภายในช่วงที่เชื่อถือได้ก่อนที่จะอนุญาตให้เข้าถึงข้อมูลที่ถูกจำกัด ตัวอย่างเช่น:
app.post('/getRestrictedData', (req, res) => {
// Get the ID token passed.
const idToken = req.body.idToken;
// Verify the ID token, check if revoked and decode its payload.
admin.auth().verifyIdToken(idToken, true).then((claims) => {
// Get the user's previous IP addresses, previously saved.
return getPreviousUserIpAddresses(claims.sub);
}).then(previousIpAddresses => {
// Get the request IP address.
const requestIpAddress = req.connection.remoteAddress;
// Check if the request IP address origin is suspicious relative to previous
// IP addresses. The current request timestamp and the auth_time of the ID
// token can provide additional signals of abuse especially if the IP address
// suddenly changed. If there was a sudden location change in a
// short period of time, then it will give stronger signals of possible abuse.
if (!isValidIpAddress(previousIpAddresses, requestIpAddress)) {
// Invalid IP address, take action quickly and revoke all user's refresh tokens.
revokeUserTokens(claims.uid).then(() => {
res.status(401).send({error: 'Unauthorized access. Please login again!'});
}, error => {
res.status(401).send({error: 'Unauthorized access. Please login again!'});
});
} else {
// Access is valid. Try to return data.
getData(claims).then(data => {
res.end(JSON.stringify(data);
}, error => {
res.status(500).send({ error: 'Server error!' })
});
}
});
});