Аналіз методів автентифікації для вебзастосунків та реалізація вебзастосунку з інтегрованою системою автентифікації

Abstract

Предметом дослідження є методи й засоби безпечної автентифікації користувачів у вебзастосунках. Мета роботи – аналіз методів автентифікації та реалізація вебзастосунку із системою автентифікації з інтеграцією JWT-токенів і стандарту OAuth v2.0. У статті розв’язуються такі завдання: аналіз основних протоколів і методів автентифікації користувачів у вебзастосунках, реалізація автентифікації на основі стандарту OAuth 2.0 та JWT Access/Refresh-токена; дослідження ризиків вразливостей і атак для реалізованих вебзастосунків. Упроваджено такі методи: порівняння, емпіричний аналіз, розрахункові методи. Досягнуті результати: проаналізовано протоколи та методи автентифікації користувачів у вебзастосунках; обрано методи автентифікації JWT-токенів і стандарту OAuth v2.0 для побудови сучасних вебпрограм; створено вебзастосунок на основі обраних методів автентифікації у вебзастосунках; описано ризики реалізації вразливостей і атак у вебпрограмах. Висновки. Проаналізовано найбільш відомі методи автентифікації у вебзастосунках, що показало наявність багатьох недоліків, які спричиняють значні ризики в процесі використання вебпрограм. Створено стандартний вебзастосунок на основі конструктора вебпрограм shopify з автентифікацією на основі Hypertext Transfer Protocol сookie session та проаналізовано ризики вразливостей і атак на нього, унаслідок чого встановлено, що ризики є дуже високими. Обрано два найбезпечніших методи автентифікації для реалізації вебзастосунку: JWT Access/Refresh-токена з browser fingerprints та стандарту OAuth 2.0, на основі яких реалізовано вдосконалений вебзастосунок. Проаналізовано ризики вразливостей і атак на вдосконалений вебзастосунок, який показав, що ризики реалізації вразливостей і атак на нього є дуже низькими. Реалізація, налаштування та аналіз упровадження методу автентифікації JWT Access/Refresh-токена в поєднанні з browser fingerprints показали, що ця комбінація забезпечує найбільш надійне запобігання викрадення токенів та застосування їх з іншого комп’ютера. Також реалізовано автентифікацію за допомогою OAuth 2.0. У дослідженні було виявлено, що делегування автентифікації на сервіси Facebook або Google можуть забезпечити низький рівень ризику реалізації атак і вразливостей на вебзастосунок.

Keywords

• автентифікація; комплексна система автентифікації; OAuth; JWT; токен; вебзастосунок.