Enlaces y códigos de un solo uso: caducidad y alcance

Un token de un solo uso bien hecho cumple cinco cosas a la vez. Sale de un generador criptográfico, para que nadie pueda predecirlo. Vive poco: minutos para un código que se escribe a mano, una o pocas horas para un enlace. Sirve una sola vez, y al usarse se invalida junto con los demás tokens pendientes de esa cuenta. Queda atado a una cuenta y a un propósito: el que se emitió para verificar un correo no sirve para restablecer una contraseña. Y se guarda como huella, no en claro, para que una copia de la base no entregue tokens vivos.

Basta con que falle una para que el resto pierda valor: un token impredecible que nunca vence es una contraseña más, y uno de vida corta que no queda atado a su dueño sirve para la cuenta de cualquiera.

Los lenguajes traen dos familias de generadores de números aleatorios. Unos están pensados para simulaciones y juegos: son rápidos y estadísticamente uniformes, pero su salida se puede predecir si se observan suficientes valores. Otros toman su entropía del sistema operativo y están hechos para secretos. Un código de verificación generado con los primeros es un fallo aunque tenga seis dígitos: MITRE lo clasifica como CWE-338, uso de un generador pseudoaleatorio criptográficamente débil.

Abre tokens.py y compara cómo se genera el enlace y cómo se genera el código por SMS.

La vida de un enlace es el tiempo durante el cual un buzón comprometido, un reenvío automático o un correo abierto en un equipo compartido bastan para tomar la cuenta. Un plazo largo no hace el flujo más amable: hace más grande la ventana. Para un enlace que la persona pidió hace un momento y usará enseguida, una hora suele sobrar.

Un token que no se invalida al usarse sigue vivo hasta que vence. Si el correo se queda abierto, si el enlace queda en el historial o si alguien lo vio por encima del hombro, la cuenta se puede volver a restablecer sin que el titular pida nada. En el registro eso se ve como el mismo identificador con dos resultados de éxito.

Abre registro-uso.txt y busca un identificador de token que aparezca con éxito en dos fechas distintas.

La queja de r.zambrano es la que más pesa: alguien cambió su contraseña el domingo y ella no había pedido ningún enlace hasta el lunes. Cruza la línea de ese domingo en registro-uso.txt con tabla-tokens.txt y con la ruta /restablecer de tokens.py.