Краткое руководство по Auth0 Python — проверка подписи и срока действия токена идентификатора

Я создаю приложение Python Flask с Auth0 в качестве поставщика OpenID Connect. Веб-сайт Auth0 предоставляет некоторый скелетный код , который я использую в качестве отправной точки для своего приложения. Скелетный код работает и легко расширяется; однако есть некоторые неясности относительно того, что делает код и почему его поведение соответствует современным стандартам безопасности. Я не могу позволить себе быть менее чем на 100 % уверенным, когда речь идет о безопасности, поэтому я хотел бы обсудить эти неясности с экспертами здесь, в StackOverflow.

Мое понимание скелетного кода

Ниже приведена последовательность событий, происходящих, когда пользователь взаимодействует с этим каркасным приложением. (См. код ниже.)

1. Пользователь открывает http://localhost:3000/ в браузере. Это вызывает конечную точку home в приложении Flask. На данный момент у пользователя нет файла cookie сеанса, поэтому ответ представляет собой некоторый HTML-код, содержащий слова «Привет, гость» и кнопку входа.
2. Пользователь нажимает кнопку входа, которая является ссылкой на http://localhost:3000/login. Это вызывает конечную точку login в приложении Flask, которая перенаправляет пользователя в окно входа Auth0.
3. Пользователь вводит свой адрес электронной почты и имя пользователя в поле входа Auth0. Пользователь перенаправляется на http://localhost:3000/callback; код авторизации, созданный при успешном входе в систему, передается в строке запроса в этом URL-адресе.
4. Вызывается конечная точка callback в приложении Flask. Код авторизации отправляется на Auth0 в обмен на токен ID и токен доступа. Устанавливается файл cookie сеанса, содержащий этот токен идентификатора и токен доступа. Пользователь перенаправляется на http://localhost:3000/.
5. Конечная точка home вызывается снова. На этот раз у пользователя есть файл cookie сеанса. Конечная точка возвращает некоторый HTML-код, содержащий текст Welcome {username}, а также дополнительную информацию о пользователе, содержащуюся в токене идентификатора в файле cookie сеанса.

И как именно создается файл cookie сеанса? Насколько я понимаю, файл cookie сеанса содержит токен идентификатора и токен доступа, а также подпись. Подпись создается с использованием секретного ключа приложения Flask (см. строку 8 в примере кода ниже).

Вопрос 1: Проверка подписи JWT

Токен ID — это JWT. Будучи JWT, токен ID содержит подпись. Эта подпись подписывается с использованием закрытого ключа Auth0 и может быть проверена с помощью открытого ключа Auth0 (также известного как JWK).

Поскольку Auth0 пытается подписать токен идентификатора, я ожидаю, что любая конечная точка в нашем приложении Flask, которая использует токен идентификатора в качестве доказательства личности пользователя, должна проверять подпись на токене идентификатора с помощью открытого ключа Auth0. В противном случае, какой смысл в Auth0 подписывать токен ID?

Но конечная точка home использует токен идентификатора в качестве доказательства личности пользователя и не проверяет подпись на токене идентификатора! (По крайней мере, такое впечатление у меня сложилось, когда я читал код и щелкал с нажатой клавишей Ctrl через методы библиотеки. Тем не менее, я не слишком уверен в этом утверждении, поскольку библиотека authlib.integrations.flask_client не очень дружелюбна к нажатию Ctrl.)

Мои вопросы:

• Правильно ли я понимаю, что подпись внутри токена ID не проверяется конечной точкой home?
• Если я прав, то это проблема? Должен ли я это исправить?

Предупреждение: в этой настройке есть две подписи:

• Подпись внутри токена ID, который подписан закрытым ключом Auth0 и может быть проверен с помощью открытого ключа Auth0.
• Подпись файла cookie сеанса, который подписывается с использованием секретного ключа приложения Flask.

Злоумышленник не может подделать файл cookie сеанса, поскольку у злоумышленника нет секретного ключа приложения Flask, и поэтому он не может создать действительную подпись для файла cookie сеанса. Так что, на мой наивный взгляд, приложение кажется безопасным. Конечно, приложению не удается проверить подпись в токене идентификатора, но оно компенсирует это проверкой подписи в файле cookie сеанса.

Тем не менее, я подозреваю, что подпись в токене идентификатора должна быть там по уважительной причине, по-видимому, для защиты от какой-то атаки, о которой мой неопытный мозг не подумал. Вполне вероятно, что я что-то упускаю.

Вопрос 2: Проверка срока действия JWT

Маркер идентификатора содержит срок действия. Насколько я могу судить, конечная точка home не проверяет, не истек ли срок действия токенов ID.

Опять же, я не уверен на 100%, прав ли я в этом вопросе.

Мои вопросы:

• Действительно ли конечная точка home не проверяет срок действия токена ID?
• Если да, то является ли это ошибкой?

Наконец, не стесняйтесь исправлять любые мои заблуждения и/или предлагать лучший выбор терминологии. Я не эксперт, и я здесь, чтобы учиться.

Примеры кода:

сервер.py

import json
from os import environ as env

from authlib.integrations.flask_client import OAuth
from flask import Flask, redirect, render_template, session, url_for
    
app = Flask(__name__)
app.secret_key = env.get("APP_SECRET_KEY")

oauth = OAuth(app)

oauth.register(
    "auth0",
    client_id=env.get("AUTH0_CLIENT_ID"),
    client_secret=env.get("AUTH0_CLIENT_SECRET"),
    client_kwargs = {"scope": "openid profile email"},
    server_metadata_url=f'https://{env.get("AUTH0_DOMAIN")}/.well-known/openid-configuration'
)

@app.route("/login")
def login():
    return oauth.auth0.authorize_redirect(
        redirect_uri=url_for("callback", _external=True)
    )

@app.route("/callback", methods=["GET", "POST"])
def callback():
    token = oauth.auth0.authorize_access_token()
    session["user"] = token
    return redirect("/")

@app.route("/")
def home():
    return render_template(
      "home.html",
      session=session.get('user'),
      pretty=json.dumps(session.get('user'), indent=4)
    )

if __name__ == "__main__":
    app.run(host = "0.0.0.0", port=env.get("PORT", 3000))

шаблоны/home.html

<html>
<head>
  <meta charset = "utf-8" />
  <title>Auth0 Example</title>
</head>
<body>
  {% if session %}
      <h1>Welcome {{session.userinfo.name}}!</h1>
      <p><a href = "/logout">Logout</a></p>
      <div><pre>{{pretty}}</pre></div>
  {% else %}
    <h1>Welcome Guest</h1>
    <p><a href = "/login">Login</a></p>
  {% endif %}
</body>
</html>