Saldırı altında mısınız? Olay müdahalesi için bize ulaşın

info@angelforce.eu
ANGELFORCE
TR
Bize ulaşın
Menü

JWT çözücü

Bir JSON Web Token’ın başlığını ve claim’lerini okumak ve riskli ayarlara karşı kontrol etmek için token’ı yapıştırın. Token tarayıcınızda kalır.

Tarayıcınızdan hiçbir şey çıkmaz: token ve yazdığınız gizli anahtar yalnızca bu sayfada işlenir.

Nasıl çalışır

İmzalı bir JSON Web Token noktalarla ayrılmış üç parçadan oluşur: bir başlık (header), claim’lerden oluşan bir payload ve bir imza. İlk iki parça yalnızca Base64url ile kodlanmıştır; token’a sahip olan herkes bunları okuyabilir. Bu araç ilk iki parçayı cihazınızda çözer, zaman claim’lerini tarih olarak gösterir ve en sık güvenlik sorununa yol açan ayarları kontrol eder. Ayrıca eğitimlerde ve varsayılan yapılandırmalarda geçen gizli anahtarlardan oluşan kısa bir listeyi de dener, çünkü bu anahtarlarla imzalanan token’ları herkes taklit edebilir.

Sonuç nasıl okunur

Sorunlar düzeltilmelidir: imzasız bir token, süre sonunun olmaması ya da herkesçe bilinen bir gizli anahtar. Uyarılar bağlama göre değişir; token’ı yalnızca bir servis kabul ediyorsa hedef alıcının (aud) eksik olması zararsızdır. Çözmek doğrulamak değildir. Bir token’ın gerçek ve değiştirilmemiş olduğunu yalnızca doğru anahtarla yapılan imza kontrolü gösterir; sunucu da başlığa güvenmek yerine kabul ettiği algoritmayı sabitlemelidir.

Sınırlamalar

Araç, HS256, HS384 ve HS512 imzalarını yazdığınız gizli anahtarla doğrular. RS, PS, ES ya da EdDSA imzalarını doğrulayamaz; beş parçadan oluşan şifreli token’ları (JWE) da okuyamaz.

Sorular

Token’ım bir yere gönderiliyor mu?

Hayır. Çözme, kontroller ve imza doğrulama tamamen tarayıcınızda çalışır. Yine de canlı token’lara parola gibi davranın ve yalnızca güvendiğiniz araçlara yapıştırın.

alg none neden tehlikeli?

Token’ın imzası yoktur; herkes claim’lerini değiştirebilir. Bazı kütüphaneler, sunucu belirli bir algoritmada ısrar etmediğinde bu tür token’ları geçmişte kabul ediyordu.

Bir JWT ne kadar süre geçerli olmalı?

Mümkün olduğunca kısa. Erişim token’larının süresi genellikle 5 ile 60 dakika içinde dolar; daha uzun oturumlar, sunucunun iptal edebildiği yenileme token’larıyla sağlanır.

RS256 token’larını burada doğrulayabilir miyim?

Hayır. Bunun için token’ı düzenleyenin, genellikle JWKS uç noktasında yayımlanan açık anahtarı gerekir. Bu token’ları JWT kütüphanenizde sabit bir anahtar ve algoritmayla doğrulayın.

Bir aracın gösterebileceğinden fazlasına mı ihtiyacınız var?

Bir araç tek bir şeyi kontrol eder. Danışmanlarımız resmin tamamına bakar.

Sızma testi

İlgili yazılar

Tüm araçlar