O‘raqamli texnologiyalar vazirligi muhammad al-xorazmiy nomidagi toshkent axborot texnologiyalari universiteti

Dastlabki so'rov - foydalanuvchi himoyalangan manbaga kirishni so'raydi. Foydalanuvchi dastlab o'zini token talab qilmaydigan tarzda, masalan, foydalanuvchi nomi yoki parol yordamida identifikatsiya qilishi kerak.

Tasdiqlash - autentifikatsiya foydalanuvchining hisob ma'lumotlari to'g'ri ekanligini aniqlaydi va ular so'ralgan tizimda qanday ruxsatlarga ega ekanligini tekshiradi.

Tokenlar - tizim token chiqaradi va uni foydalanuvchiga beradi. Uskuna tokeni bo'lsa, bu foydalanuvchi uchun tokenlarni jismoniy ta'minlashni o'z ichiga oladi. Dasturiy ta'minot tokenlari bo'lsa, bu fonda sodir bo'ladi, chunki foydalanuvchi foni server bilan bog'lanadi.

Doimiylik - token foydalanuvchilar tomonidan jismoniy, brauzerida yoki mobil telefonida saqlanadi. Bu ularga kelajakda hisob ma'lumotlarisiz autentifikatsiya qilish imkonini beradi.

Autentifikatsiya tokenlarining asosiy turlari:

Bugungi kunda ishlab chiquvchilar tomonidan foydalanuvchilar yoki xizmat hisoblarini autentifikatsiya qilish uchun foydalaniladigan bir nechta keng tarqalgan token turlari. 

JSON veb tokenlari (JWT)

JSON Web Token (JWT) ochiq standartdir (RFC 7519). U tomonlar o'rtasida ma'lumotni xavfsiz uzatishning oddiy, mustaqil usulini belgilaydi. JWT standarti tomonlar o'rtasida tokenlarni uzatish uchun JavaScript Object Notation (JSON) ob'ektlaridan foydalanadi. Ushbu tokenlar autentifikatsiya qilish va foydalanuvchi yoki hisob haqida qo'shimcha ma'lumotlarni uzatish uchun ishlatilishi mumkin. 
Kichik o'lchamlari tufayli JWTlar URL, POST parametrlari yoki HTTP sarlavhalari sifatida yuborilishi mumkin va tezda uzatilishi mumkin. JWT ma'lumotlar bazasiga bir nechta so'rovlarni oldini olish uchun ob'ekt haqida barcha kerakli ma'lumotlarni o'z ichiga oladi. JWT qabul qiluvchisi tokenni tasdiqlash uchun serverga qo'ng'iroq qilishi shart emas.
JWT uch qismdan iborat: 

• 
  Token turi va u foydalanadigan shifrlash algoritmini o'z ichiga olgan sarlavha .
  
• 
  Foydalanuvchi yoki hisob haqidagi autentifikatsiya ma'lumotlari va boshqa ma'lumotlarni taqdim etadigan foydali yuk .
  
• 
  Imzo , u foydali yukdagi ma'lumotlarning haqiqiyligini tekshirish uchun ishlatilishi mumkin bo'lgan kriptografik kalitni o'z ichiga oladi.
  

Tokenlarni yangilash

Yangilash tokeni - bu tokenga asoslangan autentifikatsiya tizimlarida yangi kirish tokenini olish uchun ishlatiladigan tokenning maxsus turi. Foydalanuvchilarga tizim yoki ilovaga toʻgʻridan-toʻgʻri kirish huquqini berish uchun foydalaniladigan kirish tokenidan farqli oʻlaroq, yangilash tokeni foydalanuvchining qayta kirishini talab qilmasdan muddati oʻtgan kirish tokenini yangilash uchun ishlatiladi. 
Odatda, kirish tokenlari xavfsizlik nuqtai nazaridan qisqa muddatga ega. Kirish tokenining amal qilish muddati tugagach, tizim yangilanish tokenidan yangisini olish uchun foydalanishi mumkin, bu esa foydalanuvchi seanslarining uzoq davom etishini taʼminlaydi va foydalanuvchi tajribasini yaxshilaydi. Muhimi, yangilash tokenlari odatda uzoq umr ko'radi va xavfsiz saqlanadi, chunki ularning murosaga kelishi mumkin bo'lgan ruxsatsiz kirishni ta'minlashi mumkin.

Federatsiya tokenlari

Federatsiyalangan tokenlar identifikatsiya provayderi (IdP) tomonidan berilgan autentifikatsiya maʼlumotlari boʻlib, foydalanuvchilarga har biriga alohida kirmasdan bir nechta tizim yoki xizmatlarga kirish imkonini beradi. Tokenning ushbu shakli federativ identifikatsiya boshqaruvining bir qismi bo'lib, foydalanuvchi identifikatorlari bir nechta IT tizimlari yoki tashkilotlarida ishonchli bo'ladi. 
Foydalanuvchi birinchi marta tizimga kirganda, IdP ularning identifikatorini tasdiqlaydi va boshqa tizimlar ishonadigan tokenlarni taqdim etadi. Misol uchun, agar siz Google yoki Facebook akkauntingiz orqali biror xizmatga kirgan bo'lsangiz, federatsiya identifikatoridan foydalangansiz. Tokenlar sizning hisob ma'lumotlaringizni qayta kiritishingizni talab qilmasdan boshqa xizmatlarga sizning shaxsingizni tasdiqlaydi, kirishni soddalashtiradi va turli platformalarda foydalanuvchi tajribasini yaxshilaydi.

Bir martalik parol (OTP) tokenlari

Bir martalik parol (OTP) tokenlari bir martalik parollarni yaratishi mumkin bo'lgan xavfsiz apparat qurilmalari yoki dasturiy ta'minot dasturlari. Ko'pincha, bu shaxsiy identifikatsiya raqamlari (PIN), 4-12 raqamli raqamli kodlar.
Smartfonlar odatda bir martalik parollarni yaratish yoki olish uchun ishlatiladi. Foydalanuvchi o'z telefoniga egalik huquqini tasdiqlaganidan so'ng, ular bir martalik parollarni yaratadigan autentifikatsiya ilovasidan foydalanishi mumkin - bu holda telefon kod ishlab chiqaruvchisi bo'lib xizmat qiladi. Shu bilan bir qatorda, OTPlar qurilmaga SMS orqali yuborilishi mumkin.
Bir martalik parol tokenlari dinamik ravishda yaratilgan hisob ma'lumotlarini qo'shish orqali mavjud identifikatsiya va parol tizimlarini yaxshilaydi. Provayderga qarab, OTP tokenlari PIN-kodlarni sinxron yoki asinxron tarzda yaratadi: 

•