Dekodirati JSON Web Token (JWT)

Što je JWT (JSON web token)?

JSON web token, skraćeno od JWT (izgovara se "jot"), je format kompaktan definiran prema RFC 7519 koji dopušta prijenos niza zahtjeva (potraživanja) između dviju strana. JWT, ili JWT token, danas je dominantan format za prenošenje autentificiranog identiteta u HTTP API-ju. JWT se pojavljuje kao ASCII niz sastoji se od tri segmenta odvojena točkama:

header.payload.signature

Svaki segment je kodiran u Base64URL, varijanti Base64 bez ispune = i koji zamjenjuje + s - i / s _ tako da može teći kroz URL ili HTTP zaglavlje bez dodatnog izbjegavanja.

Anatomija JWT-a

Json web token sastoji se od tri vrlo različita dijela, od kojih svaki ima određenu ulogu u mehanizmu provjere autentičnosti:

1. Zaglavlje

Zaglavlje je JSON objekt koji opisuje kako je token potpisan. Sadrži najmanje:

• alg (algoritam): korišteni algoritam potpisa. Tipične vrijednosti: HS256, RS256, ES256, EdDSA.
• typ (vrsta): vrsta tokena, gotovo uvijek "JWT".
• kid (ID ključa): izborno, identificira koji ključ treba koristiti za ovjeru potpisa. Praktično uz prisutnost rotirajućeg seta ključeva (JWKS).

2. Korisni teret

Korisni teret sadrži potraživanja, to jest potraživanja koja postavlja izdavatelj o korisniku ili sesiji. RFC 7519 definira sedam standardnih zahtjeva (registriranih potraživanja):

• iss (izdavatelj): tko je izdao token, na primjer "https://accounts.google.com".
• sub (subject): tko je vlasnik tokena, u praksi korisnički ID.
• aud (publika): kome je token namijenjen. Izbjegavajte token izdano za API A prihvaća API B.
• exp (vrijeme isteka): Unix vremenska oznaka nakon koje token više ne vrijedi.
• nbf (ne prije): vremenska oznaka ispred koje token nije još uvijek aktivan.
• iat (izdano u): vremenska oznaka izdavanja tokena.
• jti (JWT ID): jedinstveni identifikator tokena, koji se koristi za opoziv i sprječavanje ponavljanja.

Ovim standardnim zahtjevima općenito se dodaju prilagođeni zahtjevi specifični za aplikacija (uloge, scope, tenant_id, e-mail, dopuštenja...).

3. Potpis

Potpis je kriptografski kondenzat izračunat na base64url(zaglavlje) + "." + base64url(payload) pomoću ključa. Ona je ta koja dokazuje da nitko nije modificirao zaglavlje ili sadržaj od emitiranja. Najčešći algoritmi:

• HS256 / HS384 / HS512: HMAC-SHA simetrični potpis. Zajednički tajni ključ između izdavatelja i verifikatora. Jednostavno, ali neprikladno kada postoji više od jednog potrošača.
• RS256 / RS384 / RS512: asimetrični RSA potpis. Odašiljač se potpisuje svojim ključem privatni, svaki potrošač provjerava odgovarajućim javnim ključem. De facto standard za OAuth2 i OpenID Connect.
• ES256 / ES384 / ES512: ECDSA asimetrični potpis. Ista svojstva kao RS256 ali s mnogo kraćim ključevima i potpisima.
• EdDSA (Ed25519): moderan, brz i kompaktan asimetričan potpis.

Još jednom: potpis štiti integritet, a ne povjerljivost. The korisni teret ostaje čitljiv svakome tko posjeduje token.

Zašto dekodirati JWT?

Operacija dekodiranja tokena jwt zadovoljava nekoliko konkretnih potreba programera ili inženjer sigurnosti:

• Authentication Debug: vaš API vraća 401 ili 403, želite vidjeti što je zapravo u korisnom teretu (sub, scope, uloge, exp) umjesto nagađanja.
• Provjeri zahtjeve: potvrdite da token sadrži zahtjev očekivano (npr. tenant_id ili permissions) prije pretraživanja drugdje u lancu autorizacije.
• Istek čitanja: pretvori vremensku oznaku exp u ljudski datum za potvrditi da je token istekao, ili naprotiv, da bi još uvijek trebao biti valjan.
• Sigurnosna revizija: osiguravanje da usluga treće strane ne curi informacije osjetljivi u sadržaju (e-pošta, interni identifikatori, osobni podaci).
• Obuka i razumijevanje: pogledajte konkretno što a jsonwebtoken koji dolazi od pružatelja OAuth (Google, Auth0, Keycloak, AWS Cognito) za razumjeti mehaniku bez poniranja u dokumentaciju.
• Istraživanje javnih tokena: pregledajte JWT pronađen u zapisima, u kolačić ili u presretljivoj OAuth razmjeni.

Dekoder protiv verifikatora: kritična razlika

Ove dvije operacije izgledaju slične, ali nemaju nikakve veze u smislu sigurnosnih jamstava:

• Dekodiranje JWT-a sastoji se od dijeljenja niza na . i primijenite obrnuti Base64URL na prva dva segmenta. Čita se jednostavno, nadohvat ruke bilo koje troredne skripte. Nema provjere potpisa nije učinjeno.
• Provjera JWT-a sastoji se od ponovnog izračunavanja potpisa iz zaglavlja, korisni teret i ključ, zatim uspoređujući rezultat s potpisom prisutnim u tokenu. to je koji jamči da token nije neovlašteno mijenjan.

Praktični zaključak: dekodiranju ne vrijedi vjerovati. Sve dok potpis nije potvrđen ispravnim ključem, sadržaj korisnih podataka može biti potpuno lažan. Za fazi povjerenja, koristite naš JWT Verifier.

Kako ga koristiti

1. Nabavite JWT za pregled, na primjer iz zaglavlja Autorizacija: nositelj , iz kolačića sesije, iz localStorage iz preglednika ili iz zapisnika aplikacije.
2. Zalijepite cijeli niz u polje za unos. Tri segmenta moraju ostati odvojena bodova.
3. Alat odmah prikazuje zaglavlje dekodirano u formatirani JSON, s algoritam i tip.
4. Korisni teret se zatim dekodira i prikazuje. Tamo vidite sve tvrdnje standardni i prilagođeni.
5. Alat također ukazuje na podatke o potpisu (deklarirani algoritam, duljina), bez provjere.
6. Kako biste potvrdili da token nije neovlašteno mijenjan, prijeđite na naš JWT Verifier s očekivanim javnim ključem ili tajnom.

Sve se dekodiranje vrši u vašem pregledniku u JavaScriptu: vaš se token nikada ne šalje našim poslužiteljima.

JWT i sigurnost: zamke koje treba izbjegavati

Nekoliko zlatnih pravila za pravilno korištenje JWT-a u proizvodnji:

• Uvijek provjerite potpis na strani poslužitelja prije davanja bilo kakvih prava. Naš JWT Verifier ilustrira upravo ovu operaciju.
• Dajte prednost RS256 ili ES256 umjesto HS256 za javne API-je. Potpis asimetrično izbjegava dijeljenje tajne između odašiljača i svakog potrošača.
• Uvijek poštujte tvrdnju exp. JWT bez isteka ili s predaleko izdisanje je tempirana bomba u slučaju curenja.
• Potvrdite iss i aud na strani poslužitelja kako biste spriječili legitimni token izdan za drugu uslugu prihvaća se greškom.
• Odbijte alg: "none" na strani za potvrdu. Ovo je klasična mana što omogućuje napadaču krivotvoriti bilo koji korisni teret.
• Životni vijek neka bude kratak (na primjer 15 minuta) i uparite s refresh token dulji, ali opoziv na strani poslužitelja.

Primjer dekodiranog JWT tokena

Evo tipičnog JWT-a:

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjMiLCJuYW1lIjoiSm9obi IsImlhdCI6MTUxNjIzOTAyMn0.jrU9j8LZcRK2_BZjqXjU7lEpJbkqmXfTQIu9vT45j-I

Nakon dekodiranja, evo njegovog sadržaja:

// Zaglavlje
{
  "alg": "HS256",
  "vrsta": "JWT"
}

// Korisni teret
{
  "pod": "123",
  "ime": "Ivan",
  "iat": 1516239022
}

// Potpis (binarno, Base64URL kodirano)
HMACSHA256(
  base64url(zaglavlje) + "." + base64url(korisni teret),
  tajna
)

Gdje pronaći JWT za kopiranje?

U praksi, JWT za dešifriranje (u smislu dekodiranja) najčešće dolazi iz jednog od ovih lokacije:

• HTTP kolačić: otvorite razvojne alate (F12), tab Aplikacija ili Pohrana, zatim Kolačići. Uočite kolačić s nazivom access_token, jwt, session ili slično.
• localStorage / sessionStorage: ista ploča, Odjeljak Lokalna pohrana. Mnogi SPA-ovi tamo pohranjuju svoj token pod ključem token ili auth.
Zaglavlje
• Autorizacija: kartica Mreža, odaberite jednu API zahtjev, pročitajte zaglavlje Authorization: Bearer . Kopiraj samo dio iza Nositelj .
• Zapisnici poslužitelja: JWT se ponekad pojavljuje u zapisima pristupnika ili obrnuti proxy (treba izbjegavati u proizvodnji, ali koristan u otklanjanju pogrešaka).

Često postavljana pitanja

Primjer zahtjeva

curl -X POST https://cdrn.fr/api/v1/tools/jwt-decoder/execute \
  -H "Content-Type: application/json" \
  -d '{"token":"..."}'

Ulazna shema

Krajnje točke

• GET https://cdrn.fr/api/v1/tools - ispisuje sve dostupne alate
• GET https://cdrn.fr/api/v1/tools/jwt-decoder - dohvaća shemu ovog alata
• POST https://cdrn.fr/api/v1/tools/jwt-decoder/execute - izvršava ovaj alat s JSON payloadom