Інструменти розробника · JWT декодер
Про нас JWT Подається згідно з: alg, тип, дитина і поля для ненадійності
· Як працює
Опубліковано ToolAcre · Редакція журналу
свінгери безпека автентифікації
Заголовок розповідає про те, як було підписано токен і який ключ до використання. Цей пост пояснює кожен загальний поле заголовка, який вивідник може спиратися на, і які поля ніколи не повинні бути довірені з самого токена.
Невеликий JSON об'єкт ніхто не читає — і перевіряє рішення, що він впливає на
Головний редактор досить невеликий вид, але його поля часто беруть участь в перевірці маршрутизації. Це небезпечне плутати видимість з владою. ToolAcre декодує заголовок як JSON об'єкт і показує його властивості, але кожен байт прийшов з фіксатора токени і залишається ненадійним вхідом.
Виверизатор може використовувати значення заголовка тільки всередині обмежень, встановлених з довіреної конфігурації. Не дозволяйте токена викликати прийнятий алгоритм, емітент або віддалене джерело ключа. Робота декодера на читабель JSON Попередження про те, що вона ніколи не вибирає ключ або випускає рішення.
алг-дисплей: декодер роз’яснює тільки алгоритми, які названі в його реалізації
`alg` заявляє алгоритм, що використовуються токени. ToolAcre має пояснюючі ноти для HS256, HS384, HS512, RS256, RS384, RS512, ES256, ES384, ES512, PS256, PS384 і PS512, плюс попередження `none`. Будь-який інший рядок відображається як невизнаний, а не оброблений, як підтримується.
Цей список є функцією відображення, не каталогом алгоритмів, які ToolAcre може перевірити: він не виправдає їх. Повернути його допущеним вибором самостійно і відхиляти невідповідність. Читання `alg: RS256` не доводити RSA був використаний, так само як читання `alg: none` не можна сміливо авторизувати невизнаний токен.
type and cty — декларування типу токени, на +jwt-профіль для доступу токени, і nested JWTs
`typ` описує тип медіа або профіль виробника. ToolAcre попереджає, коли значення рядка відрізняється від `JWT`; він не виконує семантику профілю. Р `cty` поле може описати непристойний зміст, але струм декодер не має ніздрювального шляху обробки і не інтерпретує цю поле.
За допомогою випрямляча може допомогти виверизатору зберігати різні токенні класи, відокремлені при його політиці, визначає очікувані значення. Перевірка все ще належить до цього виверизатора. Неможливо зробити собі доступ до токени прямо, опустивши кращий ярлик, і панель декодів не може визначити, який кінцевий пункт програми повинен споживати його.
дитина — ключовий ідентифікатор, який дозволяє вивержувати ключі, не втрачаючи час
`kid` є ключовим ідентифікатором, не ключовим матеріалом і не доказом володіння. Послуга, яка обертається кількома перевіреними ключами, може використовувати автентичний контекст емітента та обмежений ідентифікатор для знаходження кандидата. Ідентифікатор повинен залишатися вводом до контрольованого вигляду, а не шлях до файлу, фрагмент запиту або довільний URL.
ToolAcre листя `kid` видимий в заголовку JSON але не вирішує його. Що означає, що не довірений магазин ключів доступний для публічної декодування сторінки. Якщо 401 порівнювати вияву ідентифікатора з серверним запасом та журналами без додавання ключа Token.
jku, x5u, jwk і x5c — поля заголовка, які вказують на ключі, і чому вивержувач ніколи не fetch або довірити їх сліпо
Поля, такі як `jku` і `x5u` може бути розташування імен, в той час як `jwk` і `x5c` може здійснювати дані, пов'язані з ключем. Присутність їх не робить локації або значення довірені. Захоплення URL або приймати вбудований матеріал виключно тому, що неперевершений заголовок подає йому рішення про безпеку запиту.
Безпечний верифікатор отримує ключі через відносини емітента та мережеву політику, встановлену за межами токена. ToolAcre ані fetches заголовок URL, а не будує довіру від вбудованих ключів. Під час огляду, що одна з цих полів є підказкою для перевірки конфігурації випрямляча, а не інструкцій, щоб слідувати заголовку.
crit — розширення верифікатора повинні розуміти або відхилити
`crit` сигнали, які конкретні розширення вимагають розуміння одержувача. Підсилювач, який підтримує таке розширення, потребує чіткого виконання та відхилення шляху до невідомих критичних імен. Ігнорування негайного критичного маркера може зробити виробника та споживача інтерпретувати захищений контент по-різному.
Впровадження декод-тільки не відбувається `crit`, щоб показати сирий масив без сумісності. Це ще одна межа між перевіркою та валідацією. Якщо випробувальний токен спирається на критичні розширення, перевірте поведінку в реальній бібліотеці та настройку, а не накладну підтримку від читання JSON.
Успішний приклад — читання реалістичного заголовка та викривлення яких полів означають перевірку та які є просто інформативними
Розгляд `{"alg":"RS256","typ":"JWT","kid":"rotate-7"}`. ToolAcre Ми можемо самі зателефонувати одержувачу і узгодити зручний час і місце вручення RS256 верифікації потребує емітента публічного ключа. Рецензент може зауважити за заявленим алгоритмом та ідентифікатором ключа, а потім порівняти їх з політикою шпильованих серверів та надійним набором ключів.
Повідомляємо про те, що не потрібно нічого самостійно. Якщо на сервері є інший алгоритм, не можна знайти `rotate-7` в правому емітенту встановлюється або відхиляє підпис, читабельний заголовок не перевизнається, що результат. Важко змінити текст заголовка без переадресації дійсного підпису.
Поруч: заголовок вводять, не орган — ToolAcre JWT декодер показує заголовок так ви можете прочитати його; вивержувач повинен вирішити самостійно, що довіряти
Почати JWT заголовок як вхід, не орган. Його значення можуть допомогти вибрати серед вибору вже уповноважених за допомогою конфігурації, визначити ймовірну проблему обертання або пояснити проблему профілю. Вони не можуть встановлювати довіру в власний алгоритм, ключ, URL або токен типу.
Зареєструватися ToolAcre для читання тестового заголовка та поверхневих підозрілих значень, таких як відсутні `alg`, `none` або несподіваний `typ`. Потім перемістіть на налаштований виверизатор для кожного послідовного рішення. Декодування не доведе автентифікації, цілісності, авторизації або ідентичності емітента, незалежно від того, як виглядає чуйний заголовок.