V3.5.2 Token-based Session Management

Requirement:

Verify the application uses session tokens rather than static API secrets and keys, except with legacy implementations.

Explanation:

Ключи API являются прямыми, простыми и полностью прозрачными. Они не представляют никакой базовой информации, они не шифруют секретное сообщение. Это просто нечитаемый уникальный идентификатор.

Remediation:

1) API KEY

Вот пример общедоступного ключа API в javascript на стороне клиента. Код включает идентификатор приложения (app-id-BBRSSHR), который использует ключ API (temp-search-key-ere452sdaz56qsjh565d), чтобы разрешить поиск. Идентификатор приложения относится к одному из ваших пользовательских приложений (например, веб-сайту или службе потоковой передачи). Ключ API является временным и недолговечным (срок действия которого истекает через определенный период времени), чтобы обеспечить некоторую защиту от нежелательного использования или злоупотребления.

import { hitTemplate } from "./helpers";

const search = instantsearch({

appId: "app-id-BBRSSHR",

apiKey: "temp-search-key-ere452sdaz56qsjh565d",

indexName: "demo_ecommerce"

});

Другой пример: индексирование, для которого требуется более безопасный ключ API. Он имеет тот же формат ( 

+ 

), но является частным, поскольку скрыт от общественности либо в скомпилированном коде, либо в защищенной базе данных на вашем сервере. Идентификатор приложения ( 

) относится к системе бэк-офиса. Ключ API ( 

) может быть постоянным ключом администратора, который меняется только один раз в год для упрощения обслуживания.

use Algolia\AlgoliaSearch\SearchClient;

$client = SearchClient::create(

'YourApplicationID',

'YourAdminAPIKey'

);

$index = $client->initIndex('demo_ecommerce');

$index->saveObject(

[

'firstname' => 'Jimmie',

'lastname' => 'Barninger',

'city' => 'New York',

'objectID' => 'myID'

]

);

2) JWT TOKEN

Токен JWT — это большой нечитаемый набор символов, который содержит скрытую и закодированную информацию, замаскированную подписью или алгоритмом шифрования. Он состоит из трех частей: заголовка, тела и подписи. Они разделены точкой: 

.

EZPZAAdsqfqfzeezarEUARLEA.sqfdqsTIYfddhtreujhgGSFJ.fkdlsqEgfdsgkerGAFSLEvdslmgIegeVDEzefsqd

Заголовок JWT содержит 

следующую информацию:

{

"alg": "HS256",

"typ": "JWT"

​​}

{

"sub": "1234567890",

"name": "Джон Доу",

"iat": 1516239022

}

Additional:

https://www.algolia.com/blog/engineering/api-keys-vs-json-web-tokens/