Atténuer les attaques par rejeu lors de l’utilisation de l’Implicit Flow

Pour atténuer les attaques par rejeu lors de l’utilisation de l’flux implicite avec Form Post, un doit être envoyé dans les requêtes d’authentification comme l’exige la spécification OpenID Connect (OIDC). Le nonce est généré par l’application, envoyé à titre de paramètre nonce de la chaîne de requête dans la requête d’authentification, puis inclus dans la réponse d’Auth0. Cela permet aux applications de corréler la réponse ID Token d’Auth0 avec la requête d’authentification initiale. Pour en savoir plus sur l’endroit où inclure le nonce, consultez ajouter la connexion à l’aide du flux implicite avec Form Post.

Auth0.js gère les paramètres state et nonce pour vous lorsque vous utilisez l’authentification inter-origines.

Générer un nonce cryptographiquement aléatoire

Une façon de générer un nonce cryptographiquement aléatoire consiste à utiliser un outil comme Nano ID ou un équivalent. Cela dit, vous devez alors inclure cet outil dans votre code JavaScript. Si ce n’est pas possible, vous pouvez profiter du fait que les navigateurs modernes peuvent utiliser la Web Crypto API pour générer des chaînes aléatoires cryptographiquement sûres à utiliser comme nonces.

function randomString(length) {
    var charset = '0123456789ABCDEFGHIJKLMNOPQRSTUVXYZabcdefghijklmnopqrstuvwxyz+/'
    result = ''

    while (length > 0) {
        var bytes = new Uint8Array(16);
        var random = window.crypto.getRandomValues(bytes);

        random.forEach(function(c) {
            if (length == 0) {
                return;
            }
            if (c < charset.length) {
                result += charset[c];
                length--;
            }
        });
    }
    return result;
}

Enregistrer les nonces d’une requête à l’autre

Le nonce généré doit être enregistré dans votre application Web à l’aide de l’une des méthodes suivantes :

HttpOnly
valeur dans le stockage local HTML5

Par exemple :

window.localStorage.setItem('nonce', randomString(16));

Valider l’ID token

Une fois qu’Auth0 renvoie un ID Token, ce token doit être validé et décodé comme d’habitude. Le claim nonce doit contenir exactement la même valeur que celle envoyée dans la requête. Sinon, l’application doit rejeter l’authentification.

var jwt = '...'; // corps de l'ID Token validé et décodé
if (jwt.nonce === window.localStorage.getItem('nonce')) {
    // Nonce valide
} else {
    // Nonce invalide ! Une attaque par rejeu de jeton est peut-être en cours
}

Apprendre les bases

Configuration d’Auth0

Planification et conception

Auth0 AI

Atténuer les attaques par rejeu lors de l’utilisation de l’Implicit Flow

Générer un nonce cryptographiquement aléatoire

Enregistrer les nonces d’une requête à l’autre

Valider l’ID token

Pour en savoir plus

​Générer un nonce cryptographiquement aléatoire

​Enregistrer les nonces d’une requête à l’autre

​Valider l’ID token

​Pour en savoir plus

Générer un nonce cryptographiquement aléatoire

Enregistrer les nonces d’une requête à l’autre

Valider l’ID token

Pour en savoir plus