JWT-dekooder
Kleepige JSON Web Token, et lugeda selle päist ja väiteid ning kontrollida riskantseid seadeid. Tõend jääb teie brauserisse.
Midagi ei lahku teie brauserist: tõendit ja sisestatud saladust töödeldakse ainult sellel lehel.
Kuidas see töötab
Allkirjastatud JSON Web Tokenil on kolm punktidega eraldatud osa: päis, väidetest koosnev sisu ja allkiri. Esimesed kaks on ainult Base64url-kodeeritud, seega saab igaüks, kellel on tõend, neid lugeda. See tööriist dekodeerib need teie seadmes, näitab ajaväiteid kuupäevadena ja kontrollib seadeid, mis põhjustavad kõige sagedamini turvaprobleeme. Lisaks proovib see lühikest loetelu õpetustest ja vaikeseadistustest pärit saladusi, sest nendega allkirjastatud tõendeid saab igaüks võltsida.
Kuidas tulemust lugeda
Probleemid tuleb parandada: allkirjastamata tõend, puuduv aegumine või üldtuntud saladus. Hoiatused sõltuvad kontekstist; puuduv sihtrühm on kahjutu, kui tõendit aktsepteerib ainult üks teenus. Dekodeerimine ei ole kontrollimine. Ainult õige võtmega tehtud allkirjakontroll näitab, et tõend on ehtne ja muutmata, ning server peab ka ise määrama aktsepteeritava algoritmi, selle asemel et päist usaldada.
Piirangud
Tööriist kontrollib HS256, HS384 ja HS512 allkirju teie sisestatud saladusega. See ei saa kontrollida RS-, PS-, ES- ega EdDSA-allkirju ega lugeda krüpteeritud tõendeid (JWE), millel on viis osa.
Küsimused
Kas minu tõend saadetakse kuhugi?
Ei. Dekodeerimine, kontrollid ja allkirja kontrollimine toimuvad teie brauseris. Sellegipoolest käsitlege kehtivaid tõendeid nagu paroole ja kleepige neid ainult tööriistadesse, mida usaldate.
Miks on alg none ohtlik?
Tõendil pole allkirja, seega saab igaüks selle väiteid muuta. Mõned teegid aktsepteerisid seda varem, kui server ei nõudnud kindlat algoritmi.
Kui kaua peaks JWT kehtima?
Nii lühikest aega, kui on praktiline. Juurdepääsutõendid aeguvad tavaliselt 5–60 minuti jooksul; pikemad seansid kasutavad värskendustõendeid, mida server saab tühistada.
Kas saan siin kontrollida RS256 tõendeid?
Ei. Selleks on vaja väljastaja avalikku võtit, mis avaldatakse tavaliselt tema JWKS-otspunktis. Kontrollige selliseid tõendeid oma JWT-teegis fikseeritud võtme ja algoritmiga.
Vajate rohkem, kui tööriist näitab?
Tööriist kontrollib üht asja. Meie konsultandid vaatavad tervikpilti.
LäbistustestimineSeotud artiklid
-
WordPressi turvalisuse praktiline kontrollnimekiri
Kaksteist WordPressi karmistamise sammu mõistlikus järjekorras: uuendused, hüljatud pluginad, 2FA, XML-RPC, varukoopiad, failide terviklus ja WAF.
-
Olulised turvapäised ja need, millest loobuda
Praktiline juhend: CSP koos nonce’idega, HSTS ja eellaadimine, frame-ancestors, Referrer-Policy, Permissions-Policy ja COOP, näited ning millest loobuda.
-
Turvaliste failide üleslaadimiste kavandamine ja testimine
Failide üleslaadimise kontrollide nimekiri OWASP-i juhendi põhjal ning tabel testidest, mida iga üleslaadimise lõpp-punkti vastu käivitada.