Розробники · Base64 енкодер & decoder
Декодування Base64 токенів онлайн: чому інструмент повинен працювати в браузері
· Чому це питання
Опубліковано ToolAcre · Редакція журналу
бази64 конфіденційність
Багато онлайн-декодери надсилають ваш вхід на сервер, що означає кожен токен, обліковий та оплачуваний вами паста розкривається. Цей пост пояснює, що витікання, як перевірити інструмент залишається локальним і чому ToolAcre- Декодер працює таким чином.
Про нас API ключ, який пройшов через сервер незнайомця — що записати токен у вигляді поштового декодера фактично передає
Інженер повинен перевіряти Base64-encoded JWT або API відповідь на видалення системи. Відкрийте свій улюблений пошуковий двигун, знайдіть онлайн декодерний інструмент, і вставте токен в поле введення. Інструмент відображає декодоване навантаження, миттєво і інженер повертається до роботи. Що вони не бачили, це те, що подорожі до сервера: весь токен, з кожним обліковим записом, претензія та особиста деталь, яку він містить. Цей запит був ввійшов, що зберігається в журналах доступу до серверів, можливо, кешується проксіями і обов'язково видимим для будь-якого мережевого трафіку.
Повсякденний вибір для використання онлайн-декодера розголошував виробничий токени до послуги, які вони не контролюють. Цей пост пояснює, що витікає, коли ви вставляєте віддалений декодер, як перевірити, що інструмент залишається локальним, і чому ToolAcre у браузері працює декодер, і ваші секрети ніколи не подорожують на сервер. Р JWT (JSON Web Token містить кодовані претензії, відокремлені точками. Коли декодовано середній розділ часто розкриває ідентифікатори користувачів, адреси електронної пошти, ролі, час виписки та іноді API ключі або ідентифікатор сеансу.
Що таке базове навантаження Base64, як правило, містить — облікові дані, JWT скарги, дані сеансу та персональні дані
A Base64 завантажити API відповідь може містити файл завантаження, підпис або частковий ключ шифрування. Всі ці конфіденційні дані, які не повинні залишити пристрій. При копіюванні розробника такого значення з терміналу або HTTP відповідь і вставте його в онлайн-декодер, щоб швидко читати вміст, що значення йде прямо на віддалений сервер. Якщо декодер обробляє багато користувачів, один сервер може бути накопичувальною базою тисяч токенів і перевантажень.
Навіть якщо сервер видаляє їх після обробки, вони ввійшли, видимі в транзиті і потенційно перехоплюються або зберігаються іншими послугами. Розмежування між серверно-часовими декодерами і в-tab декодерами є абсолютним. Форма на веб-сторінці POST або GET запит на декодування вашого входу означає, що ваші дані подорожують на віддалений сервер. Навіть якщо сервер чесний і видаляє дані відразу, трафік піддається. Проксі, балансери навантаження, системи моніторингу та TLS розірвання всіх точок запиту.
Два архітектура: сервер круглий поїзд versus в-tab декодування — де байти йдуть в кожному і хто може увійти їх
Якщо сервер не є чесним, або якщо це буде порушено, ваш токен тепер зберігається в базі даних, що належать іншим особам. За допомогою будь-якого запиту не потрібно надсилати запит. Текст, який ви вводите, ви вставляєте базовий рядок і декодований результат, всі перебування в браузері на вашому пристрої. Немає сервера, що контактує з третіми особами, див. інформацію та власне браузер JavaScript робить перетворення. Перевірка для себе займає одну хвилину і вимагає тільки вбудованої мережевої панелі браузера.
Відкрийте Base64 енкодер та декодер у новій вкладці, відкрийте консолі розробника (F12 в більшості браузерів) і натисніть кнопку Вкладка мережі. Переконайтеся, що список порожній або натисніть кнопку чистити. Тепер вставте зразок Token або Base64 рядок в декодер і натисніть кнопку Decode. Дивись панель Мережі акуратно. Якщо він залишається повністю порожнім і не з'являються нові запити, декодування відбувалося локально в браузері. Якщо з'явиться запит на сервер, що запитує його дані.
Як перевірити себе в мережевій панелі — перегляд на запити, в той час як ви пастаєте, і що тиха панель доводить
Як правило, відкрити джерело сторінок HTML або JavaScript (right-click, Перегляд джерела сторінки) і пошук, де утворюють повідомлення або фетчі. Якщо він надсилається до віддаленого кінцевого пункту, який не є тим самим доменом, завантаженим з вашого входу, ви залишаєте пристрій. Швидкий огляд мережевої панелі доводить, чи є декодер локальним або віддаленим. Ми можемо самі зателефонувати одержувачу. Ні GET запит з вашим входом як параметр, немає POST з даними форми, не фіксуйте виклик API.
Панель залишається повністю порожнім під час роботи. Це не важко підробити; розумний інструмент може декодувати локально, а також надсилати дані на сервер відстеження. Тому також перевіряючи Політику конфіденційності контенту. Визначено сувору Політику конфіденційності контенту, яка відображається у вкладці головків відповідей Мережі, правила багатьох видів зовнішніх дзвінків. Політика, яка забороняє зовнішніх скриптів, шрифтів і зображень і не дозволяє формувати повідомлення довільних кінцевих точок обмеження, які можна зробити шкідливу або обгрунтовану сторінку.
Чому не існує аналітики та не існує сторонніх сценаріїв — як сувора політика щодо безпеки контенту безшумна екфільтрація
CSP не є абсолютною гарантією, але в поєднанні з Мережею перевірте, це сильний доказ, що інструмент робить те, що він стверджує. Для повної перевірки, декодувати зразок Token одночасно переглядаючи три речі: мережева панель, джерело сторінки для зовнішніх запитів та CSP головки.
Сторінка, яка не дає запитань, включає в себе немає сторонніх JavaScript і заявляє суворий CSP щоб заборонити подальші навантаження набагато важче, ніж один, що дозволяє все. Base64 encoder & decoder використовує цей підхід: операції, які працюють в Web Worker на вашому пристрої, сайт має строгий CSP що забороняє зовнішній код і сторінка не робить мережевих запитів при декодуванні.
Призначений для користувача приклад: декодування зразку токени з мережевою панеллю відкритим — без запиту, без зберігання, нічого видалити після
Ви можете перевірити це себе в мережевій панелі, консолі браузера та джерело сторінки, а потім довірити власний огляд, а не обіцянку конфіденційності інструментів. Широкий контекст має значення, оскільки не всі витоки токени приходять з шкідливих декодерів. Розширення веб-переглядача, яка контролює всі запити про трафік та журнали, може бачити те, що ви вставляєте в чесний локальний інструмент, якщо розширення порушується або шкідливо. Менеджер буферів, який зберігає кожну копію і пасту роботу для зручності може зберігати ваші токени.
Плеч-серфінг, де хтось дивиться екран, коли ви працюєте, захоплює декодоване значення безпосередньо. Це поза будь-яким керуванням веб-сайтів. Не може захиститися від доступу до рівня розширення або фізичного спостереження. Але вона може і повинна усунути вплив на сервер Якщо ви збираєтеся вставити реальний продакшн токена в будь-який час, то інструмент повинен працювати локально. Рішення для використання локального versus Remote decoder є вибором безпеки, який з'єднується з часом. Використання віддаленого декодера одночасно означає, що один токена піддається і має дані.
Що це не кришка — розширення браузера, управління буферами та плеч-серфінгом, які поза контролем веб-інструменту
Використання віддаленого декодера регулярно означає сотні потоків через сервери, які ви не контролюєте. Девелопер, який робить звичку пропалювання чутливих значень в онлайн-інструменти, поступово тренує себе, що він прийнятний, нормалізує вплив. Переключення локального декодера повністю видаляє вплив на рівень інструменту. Не вирішує інших проблем, таких як токени, які з'являються в журналах або історії чату, але він усуває одне контрольоване джерело витоку. Перевірити інструмент, який залишається локальним, є питанням перевірки спостережних, не довіряє претензій.
Мережеві панелі трафіку, вихідний код сторінки, HTTP головки та помилки в консолі для веб-переглядачів. Коли інструмент стверджує бути місцевим, але ви не маєте способу його перевірити, скептицизм не гарантується. ToolAcre Base64 encoder & decoder працює повністю у вашому браузері і не робить ніяких запитів, коли ви декодуєте. Ви можете відкрити вкладку Мережі, вставити реальний токени, декодувати його і побачити, що немає запиту. У Вашому браузері з’являється лише декодоване значення. Не зберігайте на будь-якому сервері, не відправляючись на аналітику, не ввімкнувшись в будь-який час, але в кеші браузера, якщо ви знову відвідуєте і сторінка кешується.
Випадковий: декодування, де дані вже є — як Base64 енкодер і декодер працює повністю у вашому браузері, без облікового запису та відсутності завантаження
Збережіть локально, і ваш токен залишається вашим. Практичні поради є прямо вперед. Коли потрібно декодувати Base64 токен або JWTВикористовуйте інструмент, який працює локально в браузері. Перевірити це не дає запитів, відкривши мережеву панель і перевірте під час декодування. Якщо ви знайдете онлайн-інструмент, який розміщується на сервері, заблокуйте його. Ніколи паста виробляють токени, API ключі або будь-які конфіденційні дані в інструмент, де дані переходять на віддалений сервер. Зберігайте короткочасні токени і постійно обертайте довгий час, тому вікно впливу мінімізується.
Для ToolAcre Base64 encoder & decoder, токени і облікові дані, які ви вставляєте перебування в вкладці, і ви можете підтвердити це самостійно з одним швидким виглядом на панелі мережі.