Выбор ответа Middle Аутентификация обновлено
Зачем PKCE в OAuth
Вопрос
Какую проблему решает PKCE (code_verifier и code_challenge) в OAuth 2.0 Authorization Code flow?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Не даёт обменять перехваченный code на токены: для обмена нужен исходный codeverifier. Клиент сначала шлёт хеш codechallenge, а при обмене code показывает оригинал codeverifier.
Варианты ответа
- Шифрует
access_tokenпри передаче от провайдера клиенту, чтобы его не прочитал прокси - Заменяет вход по паролю у провайдера: пользователь подтверждает вход одноразовым кодом
- Защищает от CSRF на редиректе и полностью заменяет параметр
stateв запросе авторизации - Не даёт обменять перехваченный code на токены: для обмена нужен исходный
code_verifierправильный ответ
Разбор
Клиент сначала шлёт хеш code_challenge, а при обмене code показывает оригинал code_verifier. Злоумышленник, перехвативший code (например через чужое приложение со схемой редиректа), verifier не знает. Шифрование токенов обеспечивает TLS. Пароль по-прежнему вводится у провайдера. PKCE частично помогает и против подмены code, но state для защиты от CSRF всё равно рекомендуют передавать.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.