リフレッシュトークンローテーションとセッション管理 — 窃取に強いトークンライフサイクル設計

┌──────────────────────────────────────────────────────────┐
│  Access Token (AT)                                       │
│  - 用途: API 呼び出しの認可                                 │
│  - 有効期間: 5〜15 分 (短く!)                              │
│  - 検証: stateless (署名検証のみ、IdP への照会なし)           │
│  - 窃取時: 有効期間の分だけ被害。遮断不可が前提                │
├──────────────────────────────────────────────────────────┤
│  Refresh Token (RT)                                      │
│  - 用途: 新しい AT の発行 (IdP の token エンドポイントのみ)    │
│  - 有効期間: idle 数時間〜数週間、max 数週間〜数か月           │
│  - 検証: stateful (IdP がセッション/ファミリー状態を確認)      │
│  - 窃取時: rotation + reuse detection で検知/遮断           │
└──────────────────────────────────────────────────────────┘

時刻      クライアント            IdP
t0        RT1 で更新リクエスト →   AT2 + RT2 発行、RT1 を「使用済み」にマーク
t1        RT2 で更新リクエスト →   AT3 + RT3 発行、RT2 を「使用済み」にマーク
t2        RT3 で更新リクエスト →   AT4 + RT4 発行、...

ファミリー F1:  RT1 ──> RT2 ──> RT3 (現在有効)

窃取シナリオ A: 攻撃者が先に使用
  1. 攻撃者が RT2 を窃取して更新 → RT3' を獲得 (攻撃者が最新)
  2. 正規ユーザーが RT2 で更新を試みる
  3. IdP: 「RT2 はすでに使用済み」→ 再利用検知!
  4. ファミリー F1 全体を無効化 (RT3' も死ぬ)
  5. 双方ともログアウト → 正規ユーザーは再ログイン、攻撃者は遮断

窃取シナリオ B: 正規ユーザーが先に使用
  1. 攻撃者が RT2 を窃取 (まだ未使用)
  2. 正規ユーザーが RT2 で更新 → RT3 発行
  3. 攻撃者が RT2 で更新を試みる → 再利用検知! → ファミリー無効化

どちらが先であれ、「二度使われた RT」が検知された瞬間に
ファミリー全体が死ぬ、というのが核心です。

# Keycloak: rotation + 再利用 0 回許容 (最も厳格)
kcadm.sh update realms/myrealm \
  -s revokeRefreshToken=true \
  -s refreshTokenMaxReuse=0

┌───────────────────────────────────────────────────────────────┐
│ 3 層セッションモデル                                              │
│                                                               │
│  [ブラウザ]                                                     │
│   ├── アプリセッション A (app-a.example.com のセッションクッキー)   │
│   ├── アプリセッション B (app-b.example.com のセッションクッキー)   │
│   └── IdP セッション  (idp.example.com の SSO クッキー)          │
│                       │                                       │
│                       ▼                                       │
│  [IdP サーバー]                                                 │
│   └── SSO セッション (サーバー側状態: どのユーザーが、どの           │
│        クライアントに、いつ認証したかの台帳)                        │
│        ├── Client Session A (app-a へのトークン発行記録)         │
│        └── Client Session B (app-b へのトークン発行記録)         │
└───────────────────────────────────────────────────────────────┘

SSO Session Idle:    デフォルト 30 分
  - この時間セッション活動 (トークン更新など) がなければセッション失効
  - RT の実効 idle 有効期間を決定 (RT 有効期間 = min(この値, client session 値))

SSO Session Max:     デフォルト 10 時間
  - 活動と無関係に、最初の認証からこの時間が経つとセッション失効
  - 「どれだけ熱心に更新しても 10 時間後には再ログイン」の根拠

Client Session Idle / Client Session Max: デフォルト 0 (= SSO 値を継承)
  - クライアント単位でより短いトークン有効期間を強制したいときに使用
  - 例: realm 全体は idle 30 日だが、決済クライアントのみ idle 30 分
  - クライアントの Advanced Settings で個別の上書きも可能

Offline Session Idle:           デフォルト 30 日
  - offline RT を 30 日以内に一度ずつ使えば延長され続ける

Offline Session Max Limited:    有効化すると絶対上限を適用
Offline Session Max:            デフォルト 60 日
  - 更新の有無と無関係な絶対失効

Access Token Lifespan:               デフォルト 5 分 (延ばさないこと)
Access Token Lifespan For Implicit:  レガシー、無視
Client Login Timeout:                認可コード → トークン交換の許容時間

kcadm.sh update realms/myrealm \
  -s accessTokenLifespan=600 \
  -s ssoSessionIdleTimeout=1209600 \
  -s ssoSessionMaxLifespan=7776000 \
  -s offlineSessionIdleTimeout=2592000 \
  -s offlineSessionMaxLifespanEnabled=true \
  -s offlineSessionMaxLifespan=15552000 \
  -s revokeRefreshToken=true \
  -s refreshTokenMaxReuse=0

ユーザー alice のセッション一覧 (IdP 視点)
┌────────────┬──────────────┬─────────────┬──────────────┐
│ セッション ID│ デバイス       │ 開始         │ 最終活動       │
├────────────┼──────────────┼─────────────┼──────────────┤
│ sess-a1    │ MacBook/Chrome│ 06-10 09:12 │ 06-12 11:40  │
│ sess-b2    │ iPhone/アプリ  │ 06-08 20:01 │ 06-12 08:15  │
│ sess-c3    │ 会社 PC/Edge  │ 06-11 08:55 │ 06-11 18:02  │
└────────────┴──────────────┴─────────────┴──────────────┘

# ユーザーのセッション一覧を照会
kcadm.sh get users/USER-UUID/sessions -r myrealm

# 特定のセッションのみ終了
kcadm.sh delete sessions/SESSION-ID -r myrealm

# ユーザーのすべてのセッションを終了 (全デバイスからログアウト)
kcadm.sh create users/USER-UUID/logout -r myrealm

1. アプリセッションの削除   (アプリ自身のセッションクッキー/ストア)
2. IdP セッションの終了     (OIDC RP-Initiated Logout: /logout エンドポイント)
3. RT の無効化            (token revocation: RFC 7009 /revoke)
4. 他のアプリへの伝播       (Back-Channel Logout: OIDC 仕様)

Back-Channel Logout のフロー
IdP ── POST logout_token(JWT, sid=xyz) ──> App B の /backchannel-logout
                                            ├ 署名/クレームの検証
                                            ├ sid=xyz → アプリセッション s-42 を照会
                                            └ s-42 を破棄、204 を応答

┌─────────┐   HttpOnly セッションクッキー ┌─────────────┐  AT/RT 保管  ┌────────┐
│ Browser │ <─────────────────────────> │     BFF     │ <──────────> │  IdP   │
│  (SPA)  │      /api/* をプロキシ        │ (サーバー    │              └────────┘
└─────────┘                             │  セッション)  │  AT を添付
                                        │      └──────┼─────────────> APIs
                                        └─────────────┘

// BFF のトークン更新ミドルウェア (概念スケッチ)
import { Issuer } from 'openid-client';

const sessionLocks = new Map(); // セッションごとに更新を直列化

async function ensureFreshToken(req, res, next) {
  const session = await store.get(req.sessionId);
  if (!session) return res.status(401).end();

  const skewMs = 30_000; // 失効 30 秒前から先制更新
  if (session.atExpiresAt - Date.now() > skewMs) {
    req.accessToken = session.accessToken;
    return next();
  }

  // 同一セッションの同時更新を 1 つに直列化 (rotation 誤発動の防止)
  let lock = sessionLocks.get(req.sessionId);
  if (!lock) {
    lock = oidcClient
      .refresh(session.refreshToken) // rotation: 新しい RT が返る
      .then(async (tokens) => {
        await store.update(req.sessionId, {
          accessToken: tokens.access_token,
          refreshToken: tokens.refresh_token, // 旧 RT は即座に破棄
          atExpiresAt: Date.now() + tokens.expires_in * 1000,
        });
        return tokens.access_token;
      })
      .finally(() => sessionLocks.delete(req.sessionId));
    sessionLocks.set(req.sessionId, lock);
  }

  try {
    req.accessToken = await lock;
    next();
  } catch (err) {
    await store.destroy(req.sessionId); // 更新失敗 = セッション終了
    res.status(401).end();
  }
}

兆候: 再利用検知イベントが平常時の数十倍に急増
対応:
 1. 検知されたファミリーが自動で無効化されていることを確認
    (すでに防御が動作中)
 2. 影響ユーザーを抽出 → 全セッションの強制終了 +
    パスワード/passkey の再登録を案内
 3. offline token を持つユーザーは別途点検 (ログアウトでも生き残るため)
 4. AT 有効期間の一時短縮 (10 分 → 5 分) を検討

# 1. 直ちにすべてのセッションを終了 (全デバイスからログアウト)
kcadm.sh create users/USER-UUID/logout -r myrealm

# 2. offline トークンを含む同意 (consent) を撤回
kcadm.sh delete users/USER-UUID/consents/CLIENT-ID -r myrealm

# 3. クレデンシャルの再設定を要求 (パスワード + passkey の再登録)
kcadm.sh update users/USER-UUID -r myrealm \
  -s 'requiredActions=["UPDATE_PASSWORD","webauthn-register-passkey"]'