OIDC: el token de identidad y lo que se debe validar

El token de acceso se le presenta a una interfaz de programación para pedirle algo; la aplicación que lo transporta no tiene por qué entender lo que dice, y en muchos despliegues no puede. El token de identidad va en la otra dirección: se lo entrega el proveedor a la aplicación para contarle quién acaba de iniciar sesión, y la aplicación sí tiene que leerlo entero y comprobarlo.

Las afirmaciones que deciden son pocas. El emisor dice quién lo firmó y debe coincidir exactamente con el proveedor que la aplicación espera. La audiencia dice para qué aplicación se emitió. Las dos fechas dicen desde cuándo y hasta cuándo vale. Y el valor que ata el token a la petición concreta que lo originó impide que valga uno recibido en otro momento. Si la aplicación se salta una de esas comprobaciones, la firma correcta deja de ser suficiente.

La audiencia es la comprobación que más se olvida y la que más duele cuando falta. Si una aplicación acepta cualquier token bien firmado por el proveedor sin mirar para quién fue emitido, entonces un token legítimo obtenido en otra aplicación del mismo emisor sirve también aquí. No hace falta romper ninguna firma: basta con que el emisor sea el mismo.

En la evidencia hay cuatro tokens de prueba, y uno de ellos fue aceptado por una aplicación distinta de aquella para la que se emitió. Abre el laboratorio y compara las dos columnas.

La vida corta de un token de identidad solo existe si alguien la hace cumplir. El proveedor puede emitirlos con cinco minutos de validez y la aplicación seguirá aceptando uno de hace tres semanas si no compara la fecha de vencimiento con la hora actual. Es un fallo de una línea que convierte cualquier token filtrado en una llave permanente.

Vuelve al laboratorio y mira la tabla de comprobaciones.

El informe necesita el tamaño del problema, no una anécdota. La tabla de comprobaciones tiene cinco columnas de sí o no por aplicación; cuenta cuántas aplicaciones tienen al menos un «no». Esa cifra es la que abre el hallazgo, y la lista nominal va debajo.

Una de las aplicaciones no comprueba el valor que ata el token a la petición que lo originó. Sin esa atadura, un token de identidad válido capturado antes puede presentarse después como si fuera la respuesta a un inicio de sesión nuevo. No es lo mismo que la audiencia ni que la vigencia: es la comprobación de que este token responde a esta petición y no a otra.