Por qué un token vigente no basta

Un token de acceso es una credencial de corta vida: lleva quién es la persona, para qué aplicación se emitió, cuándo y hasta cuándo. La aplicación que lo recibe puede validarlo en local, comprobando la firma y el vencimiento sin hablar con nadie, y esa rapidez es justo lo que lo hace útil para miles de usos por minuto.

El precio es que el token es una fotografía. Lo que ocurra después de emitirlo (la persona cambia su clave porque sospecha algo, pierde el teléfono, o el sistema antifraude detecta un inicio de sesión raro) no aparece en el token. Mientras no venza, la aplicación que valida en local lo seguirá aceptando.

Llamamos ventana expuesta al tiempo que transcurre desde el cambio de riesgo hasta el vencimiento del token. Es el rato en que alguien que tenga ese token puede seguir usándolo aunque la cooperativa ya sepa que algo cambió. Se mide en minutos: se resta la hora del cambio a la hora de vencimiento. Si el token venció antes del cambio, la ventana es cero.

Abre tokens.txt y calcula la ventana de cada token con cambio de riesgo.

Una cosa es la ventana en teoría y otra es cuántos tokens siguen vigentes ahora. Un token está vigente si su vencimiento es posterior a la hora de corte; uno que vence justo a la hora de corte ya no lo está. Solo interesan los que además tuvieron un cambio de riesgo: son los que deberían estar cerrados y no lo están.

Con el corte en 10:00, cuenta en tokens.txt los tokens vigentes que tuvieron un cambio de riesgo.

Hay una manera de acortar la ventana sin tocar el token: que la aplicación pregunte al emisor en cada uso si el token sigue activo. Es la validación por consulta. Cuesta una llamada por uso y, a cambio, el emisor puede responder «ya no» en cuanto se enteró del cambio. Pero solo sirve si el emisor, a su vez, supo del cambio: preguntar a quien no sabe no ayuda.

Abre aplicaciones.txt y mira cómo valida cada aplicación que aparece con un cambio de riesgo en tokens.txt.

Hay dos remedios clásicos: hacer los tokens más cortos (la ventana nunca pasa de su vida) y avisar a las aplicaciones cuando algo cambia, para que cierren la sesión sin esperar al vencimiento. Lo primero se paga en renovaciones constantes; lo segundo exige que emisores y receptores se hablen, y de eso trata el resto del módulo.