Інструменти розробника · JWT декодер
JWT Payloads Чи не зашифровані: Будь-який з токеном може прочитати Them
· Чому це питання
Опубліковано ToolAcre · Редакція журналу
свінгери конфіденційність безпека
Base64url виглядає як scrambling, але це незворотне кодування. Цей пост показує, як читаються претензії підписаного токена, що належить до них, і коли вам потрібно JWE до.
Він виглядає зашифровано — непорозуміння, що подає персональні дані в токени
Довгий базовий64url сегменти виглядають масштабними, які часові команди лікують їх як приховані дані. Візуальний ефект в оману. Будь-який холдинг підписаний JWT може змінити кодування і читати JSON перезавантаження без володіння ключем реєстрації або перевірки.
ToolAcre демонструє, що майно, декодуючи заголовок та перезавантажити локально. Він не розбиває шифрування, оскільки звичайний JWS не зашифровані. Легковаговик повинен формувати дизайн токена: зашифрувати тільки інформацію, яка кожен законний власник і кожен випадкового одержувача може бути в змозі побачити.
Призначений, не ущільнений: дійсний JWS може захистити цілісність, не оплачувати конфіденційність
Важкий підпис MAC може дати належним чином налаштований виверизатор виявити зміни і пов'язаний з токеном, щоб довірений ключовий матеріал. Це цілісність і докази походження в політиці виверця. Не приховує захищений вміст від клієнта, проксі, logger або будь-якого іншого, який отримує компактну рядок.
Не можна встановити навіть той, що він ніколи не викриває. Він показує, що токен говорить про себе і звіти підпису байтів як неперевершений. Ця відмінність дозволяє уникнути двох протилежних помилок: припустимо читабельних засобів, і припустимо, підписаних засобів конфіденційності.
Що показує декодер — кожен позов, в штаті JSON, без ключа
Для заголовка і перевантаження, ToolAcre переклади base64url, відновлюється, відновлює байти як UTF-8 і паузи JSON об'єкти. Не секретні брати участь. Таблиця вимог показує значення рядків безпосередньо та структуровані значення як JSON текст, з описами імен імен, таких як `sub`, `aud` і `exp`.
Цей вихід є прозорою допомогою, що не є правдивим. Призначений токен може відображати той самий предмет і роль як законний. Читання претензії не вимагає ключа; бджільництво вимагає успішної перевірки плюс емітента, аудиторія, час і перевірка заявки на користування сервісом.
Де витік токени — журнали, URL, заголовки референта, історія браузера та сторонні сценарії
Tokens може витікати через журнали додатків, скопіювати повідомлення підтримки, URL-адреси, поширення реферера, історія браузера, скріншоти та скрипти, які можуть отримати доступ до поля. Точні шляхи залежать від системи, але читабельність корисного навантаження означає, що розірваний або небажаний токен все ще може розкрити персональну або оперативну інформацію.
Тримайте компактні облікові дані з URL рядки та рутинні колоди. Відновити їх перед проведенням діагностики. Підписано підпис не санітарно-транспортне шифрування тільки захищає дані під час подорожі між кінцевими точками; уповноважені кінцеві пункти та випадкове зберігання все ще можуть бачити характерні символи.
Що належить до корисного навантаження — ідентифікатори та реєстраційні дані, ніколи не секрети або дані, які власник не повинен бачити
Ви можете приймати рішення після перевірки. Вони не повинні нести паролі, приватні ключі або інформацію про власника токена необхідно запобігти з читання. Мінімізувати персональні дані і уникати зручного дублювання профільних полів, які не потрібні послуги.
Роль і обсяги не секретні, тому що вони зашифровані, але вони все ще не доручені до перевірки. Проектування позову, встановленого принаймні, розкриття, а також принаймні привілеї. Якщо споживач не потрібен поле для виконання його документованої роботи, залишаючи це поле знизить результат кожного витоку.
Зароблений приклад — декодування зразку токен і списання точно те, що витримувач дізнався
Декодування синтетичного навантаження, що містить `sub`, `email`, `tenant`, `roles`, `iat` і `exp`. А витримувач дізнається, що зазначений ідентифікатор облікового запису, адреса, контекст організації, затвердження дозволів та термінів без ключа. Чи є ті, хто стверджує, що це дійсно інше питання, їх текст вже розкрито.
Повторити аудит з кожним токеном профіль, який випускає, використовуючи тільки перевірений або тестовий матеріал. Запис кожного поля та його споживача. ToolAcre може допомогти об'єднати видимий зміст, але це не може вирішити законну обробку, чутливість або правила збереження вашої організації.
Зашифровані компактні токени мають п'ять частин, які це JWS decoder ідентифікує замість розшифрувань
Коли вимоги повинні залишатися конфіденційними від власника або посередників, зашифрований дизайн може знадобитися. Компактний JWE має п'ять частин і використовує ключі шифрування одержувача. ToolAcre визначає п’ять сегментів як зашифрований вхід і пояснює, що він не може виявити вміст без ключа.
Шифрування вводить ключовий розподіл, алгоритм політики та режими оперативної відмови за цим декодером. Також не видаляє необхідність перевірки цілісності та авторизації. Виберіть її з моделі загрози, а не як косметичне оновлення до корисного навантаження, яке повинно містити менше даних.
Отримувати: припустити перевантаження публічно — декодувати одну з власних жетонів ToolAcre JWT декодер і аудит, що він підлягає
Припустимо звичайний JWT перезавантажити чителю, де переходить токени. Зареєструватися ToolAcreне довести, хто видав значення. Видаліть секрети і непотрібні особисті поля замість перекриття на підставі64url, щоб захопити їх.
Якщо конфіденційність дійсно потрібна, скористайтеся механізмом, який задокументовані властивості безпеки включають його і керувати ключами відповідно. Чи підписаний або зашифрований, довіра все ще йде від настроюваної криптографічної перевірки та політики, ніколи не від того, що декодер відображається структурований вихід.