AuthSub會話令牌永不過期;安全問題？

Question

我正在使用GData的AuthSub，以便我的管理應用程序不需要存儲用戶/密碼信息。我剛開始學習如何爲會話令牌（http://code.google.com/apis/accounts/docs/AuthSub.html#AuthSubSessionToken）交換第一個單次使用令牌的文檔。然後這個聲明跳到我身上：

您可以忽略到期日期，目前沒有使用;會話令牌不會過期。

有人會關心解釋一個非到期令牌如何不是一個安全問題？什麼「有效不過期」真的意味着什麼？理論上，如果惡意應用程序設法獲取這些令牌之一，它是否可以繼續使用它而不管密碼更改？是否有可能看到目前在Google帳戶上發佈的會話令牌？

總之，我的偏執已經成型了，我需要一個聰明的大人來安慰我！

編輯：您可以手動在https://www.google.com/accounts/IssuedAuthSubTokens

Answer 1

是撤銷令牌，其實如果一個會話令牌永不過期這是一個漏洞是由CWE-384認可，如果會話需要很長的時間到期，然後它是一個違反CWE-613。這兩個CWE頁面都很好地解釋了這個漏洞。我不知道這個應用程序的細節，但通常可以使用會話令牌立即進行身份驗證，而無需輸入用戶名/密碼。