Autor afirma que tokens bearer de curta duração exigem proof of possession
O post argumenta que tokens bearer OIDC com expiração de 15 minutos não impedem invasões e que proof of possession, como a vinculação via TLS, é a solução real. O autor também prevê o fim do OIDC em breve.
Fonte: Autor diz que tokens bearer de curta duração exigem proof of possession (x.com). Texto preparado com IA a partir dessa fonte.
O que aconteceu e o que fazer
O autor do post sustenta que tokens bearer OIDC com expiração de 15 minutos não impedem invasões, porque a curta duração, sozinha, não impede o roubo do token. Segundo ele, a única solução real é o proof of possession, como a vinculação do token ao canal TLS, e prevê que o OIDC deixará de ser usado em breve.
Na prática, uma empresa que emite tokens bearer pode começar mapeando quais APIs e clientes aceitam tokens sem vínculo ao remetente e por quanto tempo esses tokens permanecem válidos após um eventual roubo. Entre as opções a avaliar estão tokens vinculados ao cliente, como mTLS com certificados (RFC 8705) ou DPoP (RFC 9449), somados à detecção de reutilização de tokens nos logs dos gateways. Esses controles dependem da compatibilidade do lado do cliente e do provedor de identidade, o que deve ser verificado caso a caso.
Como a consultoria pode ajudar
Diagnóstico de como os tokens são emitidos, validados e usados entre serviços, com mapa de exposição a roubo e reutilização. Em seguida, desenho e implementação de vinculação de tokens ao remetente e de monitoramento de uso anômalo, com operação contínua no ambiente do cliente.
Próximo passo
Envie uma breve descrição do seu cenário de autenticação e de APIs e receba uma proposta com escopo para diagnóstico e implementação.
Vamos avaliar seu projeto
Respondo com escopo e proposta.