wp_nonce против jwt

Question 1

Недавно я добавил аутентификацию JWT на свой сайт, потому что фронтенд моего сайта полностью отделен от бэкенда.
О чем я не подумал, так это о том, что я мог бы использовать wp_nonce вместо jwt – создавать nonce на бэкенде, хранить его на фронтенде и отправлять с каждым запросом до его истечения.

Какие недостатки имеет метод wp nonce по сравнению с методом jwt?

Кроме того, nonces используются для защиты wordpress от csrf, например.
Есть ли способ защитить rest api от csrf, кроме как правильно установить правила cors (чтобы разрешить только домен фронтенда)?

Question 2

О чем я не подумал, так это о том, что я мог бы использовать wp_nonce вместо jwt – создавать nonce на бэкенде, хранить его на фронтенде и отправлять с каждым запросом до его истечения.

Какие недостатки имеет метод wp nonce по сравнению с методом jwt?

Использование nonces в качестве замены протокола аутентификации или в качестве идентификатора сессии будет небезопасным. Nonce – это не токен аутентификации или идентификации.

Использовать его как токен аутентификации не получится, или вернее, это будет работать, но безопасность будет крайне низкой.

Цель nonce – доказать, что когда пользователь совершает действие, он намеревался его совершить, что запрос был преднамеренным. Это не является доказательством того, что пользователь – это тот, за кого он себя выдает, и это не предоставляет никаких гарантий в отношении идентичности.

Если они используются в аутентификации, то это как тест для обнаружения повторяющихся атак и избежания повторного отправления записанного запроса на вход атакующим, но они не могут быть использованы для проверки и входа пользователем.

Кратко: это плохая идея, nonces не могут использоваться как средства аутентификации. придерживайтесь известного хорошего метода, который хорошо определен и проверен в боевых условиях, если вы хотите безопасности и надежности.

И не создавайте свою собственную криптографию

Давайте проверим, насколько безопасным будет WP nonce, на момент написания, это реализация, которую использует WP:

function wp_create_nonce( $action = -1 ) {
    $user = wp_get_current_user();
    $uid  = (int) $user->ID;
    if ( ! $uid ) {
        /** Этот фильтр документирован в wp-includes/pluggable.php */
        $uid = apply_filters( 'nonce_user_logged_out', $uid, $action );
    }

    $token = wp_get_session_token();
    $i     = wp_nonce_tick();

    return substr( wp_hash( $i . '|' . $action . '|' . $uid . '|' . $token, 'nonce' ), -12, 10 );
}

В предложенной схеме это будет упрощено до:

function wp_create_nonce( $action = -1 ) {
    $i     = wp_nonce_tick();
    return substr( wp_hash( $i . '|' . $action . '||', 'nonce' ), -12, 10 );
}

Таким образом, для пользователя нужно знать действие, временную метку nonce и соль, используемую wp_hash. Мы узнаем действие, временная метка nonce – это простая временная вычисления с некоторым округлением, поэтому нам нужно лишь перебором найти соль.

Мы можем сделать это, изменив wp_create_nonce для использования версии wp_hash, которая перебирает все возможные значения для wp_salt. Это даст нам либо AUTH_SALT, либо SECURE_AUTH_SALT в wp-config.php.

С этого момента начинается цепочка событий, которая позволяет нам выдать себя за любого пользователя на вашем сайте. Смягчение этого включало бы nonce_user_logged_out и разработку схемы для вставки большего количества данных о сессии пользователя, но это просто задерживает неизбежное.

wp_nonce против jwt

Вопрос или проблема

Ответ или решение

Теория

Пример

Применение

Недостатки wp_nonce в сравнении с JWT:

Защита REST API от CSRF: