Token turunan bertahan setelah delegasi dicabut

Kasus dalam konteks.

Offboarding perlu mencakup akses yang diterbitkan selama delegasi berlangsung. Sumber menunjukkan alasan memeriksa token turunan selain akses pengguna asal.

Tanggal / arsip

Arsip 15 September 2026; tanggal uji tidak dicantumkan

Scope

Delegasi sah, akun dan objek disposable milik peneliti; identitas serta artefak sensitif: ***.

Risk

Medium — klasifikasi pada publikasi historis

Evidence confidence

Tervalidasi menurut publikasi; artefak mentah tidak ada dalam backup ini

Telusuri batas aksesnya.

Delegasi sah, akun dan objek disposable milik peneliti; identitas serta artefak sensitif: ***.

Publikasi membandingkan parent dan descendant sebelum/sesudah revoke, mempertahankan scope pembanding, lalu memeriksa marker melalui sesi owner terpisah.

1. Pengguna / token
2. Permukaan web / API
3. Keputusan server
4. Resource / state

Peta permukaan konseptual. Scope dan bukti di atas menentukan bagian yang benar-benar diperiksa.

Hubungkan izin
dengan keputusan bisnis.

Offboarding perlu mencakup akses yang diterbitkan selama delegasi berlangsung. Sumber menunjukkan alasan memeriksa token turunan selain akses pengguna asal.

Sumber menyatakan BOUNDARY_CROSSED. Marker dipulihkan, token turunan dihapus dan ditolak, serta inventory kembali ke baseline.

Kartu mengenali pengunjung.
Izin membuka ruangan.

Login hanya membuktikan siapa Anda. Authorization menentukan apa yang boleh Anda akses.

Apakah pencabutan delegasi juga mengakhiri hak akses yang lahir dari delegasi tersebut?

Perbandingan edukatif. Potensi kegagalan bukan finding terhadap target kecuali bukti kasus mengonfirmasinya.

Baca status
bersama buktinya.

Tervalidasi menurut publikasi; artefak mentah tidak ada dalam backup ini

VALIDATED

Menurut publikasi: kredensial sumber ditolak setelah revoke; marker yang ditulis descendant dikonfirmasi owner dari state server.

OBSERVED

Token turunan tetap Restricted dan scope pembanding tetap ditolak.

NOT VERIFIED

Pengulangan independen, keadaan target saat ini, dan retest perbaikan.

NOT AVAILABLE

Raw HTTP, inventory owner, dan artefak engagement tidak disertakan dalam backup website.

1. Observation
2. Reproduction
3. Validation
4. Impact confirmation
5. Finding

Tangga menunjukkan standar pembuktian, bukan tahap yang telah selesai. Daftar status di atas mencatat bukti yang tersedia untuk kasus ini.

Kontrol, perilaku,
dan verifikasi.

Aktor

Principal dengan delegasi sementara yang diberikan melalui alur normal.

Batas kontrol

Lifecycle delegasi sumber versus credential turunan.

Root cause

Publikasi menyatakan credential turunan tidak terikat pada lineage kewenangan sumber; source backend tidak disertakan.

Efek yang dicatat

Mutasi marker non-sensitif milik peneliti setelah revoke, dikonfirmasi melalui sesi owner.

CWE / retest

Not independently verified dari backup website ini.

Catatan perbaikan / verifikasi pemilik

Catat sumber kewenangan credential dan terapkan cascade revoke atau persetujuan owner eksplisit untuk grant persisten.

Arahan pemeriksaan; tidak menyatakan implementasi atau perbaikan telah selesai.

Batas pemeriksaan
adalah bagian hasil.

• Tidak ada klaim admin, lintas tenant, payment, atau resource berbayar; scope turunan tetap terbatas.
• Kewenangan awal memang diberikan oleh owner; dampak minimum yang dicatat hanya mutasi field non-sensitif.
• Bukti mentah dan tanggal uji tidak tersedia dalam backup; tidak membuktikan kondisi saat ini.

Apa yang ditunjukkan kasus ini.

Sumber menyatakan BOUNDARY_CROSSED. Marker dipulihkan, token turunan dihapus dan ditolak, serta inventory kembali ke baseline.

Keberhasilan revoke pada pengguna asal belum mewakili seluruh token dan sesi turunannya.

Sumber: artikel publik teredaksi dalam backup website bertanggal 15 September 2026.

insight-descendant-token-lifecycle.php