Ein gestohlenes Sitzungstoken sollte allein nicht genügen, um eine Sitzung auf einem fremden Gerät zu übernehmen. Bei Gerätebindung muss der Client zusätzlich einen Nachweis erbringen, der mit dem registrierten Gerät verknüpft ist.
Das reduziert Risiken durch Token-Diebstahl, ersetzt aber weder kurze Laufzeiten noch Rotation, Widerruf und sichere Schlüsselablage. Gerätewechsel und Wiederherstellung benötigen eigene, bewusst entworfene Übergänge.
Drei Prüfungsfragen
- 01Welcher Besitznachweis bindet die Sitzung?
- 02Wie wird genau ein verlorenes Gerät widerrufen?
- 03Was passiert bei Wiederherstellung oder Gerätewechsel?