عیب‌یابی JWT

عیب‌یابی توکنی که پذیرفته نمی‌شود

به‌روزرسانی: ۲ مهر ۱۴۰۵ · نویسنده: سامان

توکن‌ها به شمار انگشت‌شماری راه شکست می‌خورند و هیچ‌کدام در خود توکن دیده نمی‌شود؛ توکن سه تکه Base64URL است با نقطه در میانشان. اینجا که بچسبانیدش به چیزی بدل می‌شود که می‌توان با آن بحث کرد: هر فیلد هدر و هر کلیم در جدولی که می‌گوید هر کدام برای چیست، انقضا ترجمه‌شده به زبان ساده، و امضا سنجیده‌شده با هر کلیدی که در دست دارید.

رمزگشایی همان حین تایپ انجام می‌شود و چیزی جایی فرستاده نمی‌شود. در چنین صفحه‌ای باید این را صریح گفت، چون آنچه می‌خواهید بچسبانید یک گواهی فعال برای حساب کسی است.

شش شکست، به ترتیبی که به‌صرفه است

ترتیب مهم است. انقضا و مخاطب نه کلید می‌خواهند و نه همکاری کسی، پس در چند ثانیه کنار می‌روند؛ دنبال کردن یک مشکل امضا که آخرش ناسازگاری aud از آب درمی‌آید، همان چیزی است که یک بعدازظهر را می‌بلعد.

خواندن با بررسی کردن یکی نیست

همین‌جاست که آدم‌ها می‌لغزند. رمزگشایی می‌گوید توکن چه ادعایی دارد؛ درباره درستی آن ادعا چیزی نمی‌گوید، چون هدر و پی‌لود کدگذاری شده‌اند نه رمزنگاری، و هر کسی می‌تواند مال خودش را بنویسد. بررسی یعنی بازمحاسبه امضا با کلید محرمانه یا عمومی صادرکننده — کاری که این صفحه در مرورگر شما می‌کند — و تنها همین گام است که ادعا را به واقعیت بدل می‌کند.

پس نمای رمزگشایی‌شده را برای ساختن فرضیه به کار ببرید و دکمه بررسی امضا را برای آزمودنش؛ و در کد خودتان هرگز تصمیم مجوزدهی را روی محتوای رمزگشایی‌شده بنا نکنید. زبانه «کد» دقیقاً به همین دلیل بررسی سمت سرور را در هشت زبان می‌نویسد. اگر خودِ کدگذاری برایتان گیج‌کننده است، تفاوت Base64 و Base64URL توضیح می‌دهد چرا یک بخش JWT را نمی‌شود همین‌طوری در یک رمزگشای معمولی Base64 چسباند.

چیزهایی که شبیه مشکل توکن‌اند و نیستند

• واژه Bearer که همراه توکن کپی شده، یا یک خط تازه که از ترمینال آمده؛ هر دو ورودی امضا را عوض می‌کنند و امضا را می‌شکنند.
• توکنی که نمایشگر لاگ کوتاهش کرده. بخش امضا برای هر الگوریتم طول ثابتی دارد، پس توکن بریده همیشه رد می‌شود.
• دو سرویس که کلید محرمانه مشترکی دارند و یکی‌شان آن را Base64 ذخیره می‌کند. گزینه کلید به‌صورت Base64 است را بزنید تا همان سمت را بازسازی کنید.
• یک kid که دیگر وجود ندارد چون صادرکننده کلیدهایش را چرخانده؛ توکن سالم است و مجموعه کلیدها کهنه.

وقتی خود توکن تبرئه شد، متهم‌های باقی‌مانده سمت سرورند: میان‌افزاری که هرگز بررسی نمی‌کند، ساعتی که می‌لغزد، حافظه نهانی که مجموعه کلید قدیمی را نگه داشته. اگر برای آزمودن هر کدام به توکنی در وضعیت مشخص نیاز دارید — منقضی، معتبر، یا امضاشده با کلیدی که خودتان دارید — تولید JWT آن را می‌سازد و بررسی انقضای توکن می‌گوید یک بررسی‌کننده کلیم‌های زمان را چطور می‌خواند.