分類
CISSP

存取令牌(Access Token)

. “斷言”( Assertion)是 SAML(安全斷言標記語言)中使用的術語,相當於 OIDC(OpenID Connect)中的“聲明”。OIDC 將 ID Token(用於身份驗證)與 Access Token(用於授權)區分開來。OAuth2 中使用的存取令牌是“承載”令牌。擁有存取令牌作為不記名令牌的任何一方都可以存取相關資源。
. XACML 用於授權,它基於 XML,非常適合 SAML。
. 存取令牌和不記名令牌通常可以互換使用。但是,存取令牌字面上表示存取控製或授權的概念。不記名令牌是令牌的一種,它強調令牌的匿名性。

RFC 6750,OAuth 2.0 Bearer Token Usage,是一個規範,“描述瞭如何在 HTTP 請求中使用不記名令牌來存取 OAuth 2.0 受保護的資源。擁有不記名令牌(“持有者”)的任何一方都可以使用它來存取相關資源(無需證明擁有加密密鑰)。為了防止濫用,需要保護不記名代幣在存儲和運輸過程中不被洩露。”
但是,它也使用術語“存取令牌”描述了客戶端和資源服務器之間的通信,如下圖所示:
https://ithelp.ithome.com.tw/upload/images/20210718/20132160FnRDal2e90.png

參考
刷新令牌:何時使用它們以及它們如何與 JWT 交互

資料來源: Wentz Wu QOTD-20210623

PS:此文章經過作者同意刊登 並且授權可以翻譯成中文

作者: stevencho

從事資訊工作二十多年,對資安極具熱情,在 Network Security, Endpoint Security, 及 Mobile Security 等資安領域有超過十年以 上的經驗。曾任職精誠資訊資安產品代理部門技術經理,負責 資安產品之技術支援與大型企業導入專案。此外,他也取得了 ISO 27001 主導稽核員證書及 Check Point 的 CCSA 與 CCSE 等防 火牆產品等專業證照。此外,平常除了喜歡透過ITHelp平台及個人部落格分享文章,亦常擔任社群活動主辦者及志工,連結資安同好聯誼及共好學習,並協助對於CISSP有興趣的同學與同好準備認證考試。