Session token: ορισμός
Το session token είναι μια τυχαία συμβολοσειρά που δημιουργεί ο server του καζίνο μόλις συνδεθείτε και που αποδεικνύει, σε κάθε επόμενο αίτημα, ότι πρόκειται για τον ίδιο συνδεδεμένο παίκτη. Χάρη σε αυτό δεν πληκτρολογείτε ξανά τον κωδικό σε κάθε μετάβαση από τα παιχνίδια στο ταμείο. Το token δεν περιέχει τον κωδικό σας, αλλά λειτουργεί ως προσωρινό κλειδί του λογαριασμού. Όποιος το αποκτήσει μπορεί να μπει στον λογαριασμό όσο αυτό παραμένει ενεργό.
Πώς δημιουργείται και πότε λήγει
Το token παράγεται από κρυπτογραφικά ασφαλή γεννήτρια τυχαίων αριθμών και αποθηκεύεται συνήθως σε cookie του browser ή στη μνήμη της εφαρμογής. Ο οδηγός ασφάλειας του OWASP ζητά τουλάχιστον 64 bits εντροπίας, δηλαδή 264 πιθανές τιμές, ώστε να μην μπορεί κανείς να το μαντέψει με δοκιμές.
Η λήξη του ελέγχεται από δύο χρονόμετρα.
Το πρώτο μετρά την αδράνεια: αν δεν στείλετε κανένα αίτημα για ορισμένο διάστημα, ο server ακυρώνει το token. Το OWASP αναφέρει ως συνήθη όρια 2-5 λεπτά για εφαρμογές υψηλής αξίας και 15-30 λεπτά για εφαρμογές χαμηλού ρίσκου. Το δεύτερο είναι το απόλυτο όριο, που τερματίζει τη σύνδεση μετά από σταθερό χρόνο, όσο ενεργοί κι αν είστε. Κάθε operator ορίζει τις δικές του τιμές, και ενιαίο πρότυπο για τα online καζίνο δεν υπάρχει.
Πού το συναντά ο παίκτης στο κινητό
Στο κινητό το token γίνεται ορατό μόνο τη στιγμή που λήγει, με ένα μήνυμα «η συνεδρία έληξε» στο ταμείο ή στη μέση ενός τραπεζιού live casino. Όταν ανοίγετε έναν κουλοχέρη, το καζίνο συνήθως περνά ξεχωριστό token στον πάροχο του παιχνιδιού, γι’ αυτό μια διακοπή μπορεί να κλείσει το παιχνίδι ενώ ο λογαριασμός μένει συνδεδεμένος.
Η εφαρμογή δεν κρατά από τη φύση της τη σύνδεση περισσότερο από τον mobile ιστότοπο, αφού τη λήξη την αποφασίζει ο server.
Συχνά το token μπερδεύεται με το cookie, που είναι απλώς ο χώρος όπου αποθηκεύεται. Άλλη σύγχυση αφορά το JWT, ένα token που κουβαλά μέσα του υπογεγραμμένα στοιχεία χρήστη αντί να παραπέμπει σε δεδομένα του server. Με τα έγγραφα KYC πάντως δεν έχει καμία σχέση.
