2

很可能我对这个主题有误解，或者在实施过程中遗漏了一些东西

我浏览了 Auth0 的文档，通过端点而不是 SDK 创建使用 PKCE 的授权代码流，我看到我们提出了如下挑战和验证器（来自 auth0 doc）：

// Dependency: Node.js crypto module
// https://nodejs.org/api/crypto.html#crypto_crypto
function base64URLEncode(str) {
    return str.toString('base64')
        .replace(/\+/g, '-')
        .replace(/\//g, '_')
        .replace(/=/g, '');
}
var verifier = base64URLEncode(crypto.randomBytes(32));

和

// Dependency: Node.js crypto module
// https://nodejs.org/api/crypto.html#crypto_crypto
function sha256(buffer) {
    return crypto.createHash('sha256').update(buffer).digest();
}
var challenge = base64URLEncode(sha256(verifier));

然后我们将挑战传递给授权端点，如下所示（来自 auth0 doc）：

https://YOUR_DOMAIN/authorize?
    response_type=code&
    code_challenge=CODE_CHALLENGE&
    code_challenge_method=S256&
    client_id=YOUR_CLIENT_ID&
    redirect_uri=YOUR_CALLBACK_URL&
    scope=SCOPE&
    audience=API_AUDIENCE&
    state=STATE

并将代码和验证器传递给令牌端点，如下所示（再次来自 auth0 doc）：

curl --request POST \
  --url 'https://YOUR_DOMAIN/oauth/token' \
  --header 'content-type: application/x-www-form-urlencoded' \
  --data grant_type=authorization_code \
  --data 'client_id=YOUR_CLIENT_ID' \
  --data code_verifier=YOUR_GENERATED_CODE_VERIFIER \
  --data code=YOUR_AUTHORIZATION_CODE \
  --data 'redirect_uri=https://YOUR_APP/callback'

实现是一件相当简单的事情，但我不明白另一个应用程序如何不能进行相同的挑战和验证并模拟我们的应用程序？

我以为我们不使用 client_secret 作为授权代码流，暴露的 client_secret 使黑客更容易尝试生成令牌和虚假模拟我们的应用程序，为什么他们不能简单地模拟挑战和验证者？

4

3 回答 3

3

PKCE 就是要验证发起初始身份验证请求的客户端是否也是使用授权码获取真实令牌的客户端。

与要求客户端进行检查的状态/随机数安全功能相比，PKCE 是在身份提供者端实施的保护检查。

PKCE 与客户端机密完全无关。

于 2021-02-04T09:49:39.990 回答
2

如果您在应用程序或 SPA 中使用没有 PKCE 的授权代码流，并且有人捕获了您从授权服务器收到的授权代码，他将能够通过发送授权代码 + 客户端 ID 从授权令牌中检索访问令牌（密钥）和授权服务器的客户端机密。因为您的应用程序的所有用户/客户端的 ID 和密码都是相同的。然后，他可以使用访问令牌从资源服务器检索用户数据。

如果您将授权码流与 PKCE 一起使用，则攻击者无法使用授权码，因为他没有验证者。如果他创建自己的验证器和代码挑战并构建自己的应用程序版本，他还需要让用户使用他的应用程序版本。只有在用户登录到授权服务器后，挑战和验证者才会匹配。如果他只是以某种方式捕获了授权代码，那么生成自己的挑战和验证者是没有用的，因为流程是从您的应用程序创建的挑战开始的，并且与他创建的验证者不匹配。

与此问题相关：攻击者不能也获得代码挑战吗？

PKCE 想要做什么？

于 2021-02-05T11:40:21.743 回答
0

它不是。使用 PKCE 的身份验证代码仅比不涉及客户端密码的隐式流更安全。

PKCE 是一种实现更安全的授权代码流的方法（否则需要客户端密码）

于 2021-09-16T17:00:09.047 回答