Інструменти розробника · JWT декодер
Аудиторія і емітент перевіряє: Стоппінг JWT З Being Replayed Elsewhere
· Чому це питання
Опубліковано ToolAcre · Редакція журналу
свінгери автентифікації безпека
Для одного сервісу можна пред’явити про те, що він передає той самий емітент. Ця пошта пояснює, як aud і перевіряє припинення, і як читати обидва претензії в токені.
Послуга B приймає токени призначене для надання послуг A - релей крос-сервісу, що дієвий підпис не заважає
Підпис може бути дійсним для токену, який був видана в інший сервіс. Якщо кілька API довірити ту ж саму платформу ідентичності, але ігнорувати контекст одержувача, який призначений для сервісу A може бути переглянуто на сервісі B. Cryptoграфічна цілісність не відповідає, хто його споживає.
ToolAcre може виявити `iss` і `aud` тому розробник може помітити очевидну невідповідність. Ті рядки залишаються неперевершеними до успіху підпису, і інструмент браузера ніколи не виконує цю перевірку. Фактичний ресурсний сервер повинен застосовуватися як до її емітента, так і для цільової аудиторії.
iss — зв'язувати з токеном до емітента вашого сервісу довіри, і чому рядок матчу недостатньо без ключових обов'язків
`iss` визначає особу, яка видала токени. Вивержувач має точний очікуваний емітент під власною конфігурацією і зобов'язаний зв'язати особу з правильним ключовими відносинами. Порівняти текст без криптографічного обов'язкового номера для атаки, щоб скопіювати очікуваний рядок.
Декодер описує `iss` як «який створений токен», але це зареєстроване значення, не знайдено про минуле значення. Чистий текст емітента корисний доказ для налаштування відключення. Неможливо вибрати довільне джерело ключа або автентифікувати себе.
aud — рядок або масив, що нагадує призначені одержувачі, і правило, що вивержувач повинен знайти себе в ньому
`aud` імена призначених одержувачів і може з'явитися як один рядок або збірка. Політика ресурсного сервера повинна знаходитися в автентифікованому значенні за допомогою точного правила порівняння, що вимагаються її профілю. Не варто приймати токени, тому що деякі інші знайомі послуги вказані.
ToolAcre Продам масиви як JSON текст у таблиці претензій, зберігаючи видиму структуру для перевірки. Не знаю струму API’ ідентифікатор і не може вирішити матч. Що свідома відсутність перешкоджає поширенню генеричного декодера від контексту авторизації.
azp і сфера — OpenID Connect і OAuth стверджує, що рефінін, який може використовувати токен і для чого
`azp` і `scope` може додавати контекст про уповноважену партію та запропоновані дозволи в профільах, які їх визначають. Вони не замінюють аудиторію, емітента або підписних перевірок. Ім'я об'єкта - це підтвердження, не надання дозволу до карти ресурсного сервера.
Поточний декодер лікує ці вимоги щодо застосування, оскільки його зареєстрований стіл охоплює сім основних імен. Він відображає свої значення, але не містить OpenID Connect або OAuth semantics. Консультація відповідного профілю та договору провайдера перед використанням їх у вирішенні.
Сплутаний шаблон — як законний токен стає атакою, коли аудиторії не перевіряють
плутаний депутат використовує законну владу в неінтенсивному контексті. Визначений неправильним сервісом може викликати, що візерунок навіть коли ніхто не заробив підпис. Аудиторія перевірить ліміт, в якому можуть застосовуватися автентифіковані претензії, в той час як емітент перевіряє ліміт, який стверджує послугу.
Ось чому загальний прапор «значний дійсний» все ще буде недостатньо. Авторизація залежить від одержувача і операції. ToolAcre Уникає, що неоднозначність повністю за допомогою звіту, не враховує результат перевірки, не залишаючи витрати на обслуговування, щоб об'єднати криптографію з контекстною політикою.
Зароблений приклад — читання з двох жетонів ToolAcre JWT декодер і декодування, які послуги повинні прийняти кожного
Створіть два нешкідливі токени, декодовані навантаження відрізняються тільки `aud`: імена `service-a`, інші `service-b`; як стверджує той самий емітент. ToolAcre робить різницю видимим. Послуга-відновлювач не повинен прийматися від цього дисплея і відхиляти аудиторію сервісу-B.
Потім перевернути вправу з двома рядками емітента. Очікуваний текст не достатньо, якщо перевірка використаних ключів довіряється для цього емітента. На прикладах окремої перевірки від прийняття і показати, чому копіювання правопорушених вимог до змін, які не довірена політика.
Що це не обкладинка — перевірка підпису, яка ніколи не виконує декодер; ауд і перевіряє тільки питання після закінчення підпису
Аудиторія і емітент перевіряє питання тільки після криптографічної перевірки встановлює, що захищені байти відповідають довіреним ключовим матеріалом. ToolAcre не виконує такої перевірки. Його вихід не може встановити, що скарга, що збереглася, або це відомий емітент, автор.
Це також не fetch метаданих, вибрати ключі або порівняти налаштовані одержувачі. Використовуйте тести та журнали, щоб довести відмову від виправного емітента та неправильної аудиторії. Візуальний матч в декодері - це дебулінг, не достатня кількість доказів авторизації.
Ведуться: перевірте, що це для того, щоб не тільки хто його підписував — ToolAcre JWT decoder показує aud і стверджує, що потрібно порівняти
Перевірте, хто токен є для того, щоб не merely the name він сказав він. Надійний потік автентизує захищені байти під самостійно довірені відносини емітента, потім вимагає прийнятної аудиторії і застосовує правила авторизації послуг.
Зареєструватися ToolAcre для читання значень безпечних тестів і формування наступної перевірки сервера. Не оберіть ключі перевірки від ненадійних заголовків або даних про скарги, і не включайте відображення `iss`, `aud`, `azp` або `scope` без повного довіреного потоку.