JWT'yi Çözme ve Claimlerini Güvenli İnceleme

giriiş

JSON Web Token (JWT, RFC 7519), authentication ve authorization için kullanılan kompakt, URL-safe token formatıdır. Noktalarla ayrılmış üç Base64URL kodlanmış parçaya sahiptir: header.payload.signature. Header algoritmayı açıklar, payload claim'leri (user id, roles, expiry) taşır ve signature token güvenilir bir tarafça verilmiş olduğunu kanıtlar. Kritik: header ve payload kodlanmış, şifrelenmemiş —herkes okuyabilir.

Adım adım

1. Tokenı üç parçaya bölün

   Bir JWT xxxxx.yyyyy.zzzzz'a benziyor. Başlığı (bölüm 0), yükü (bölüm 1) ve imzayı (bölüm 2) elde etmek için nokta karakterini bölün. Tam olarak üç parça yoksa belirteç hatalı biçimlendirilmiştir.

2. Base64URL-başlığın kodunu çözer

   Başlık, {"alg":"HS256","typ":"JWT"} gibi Base64URL kodlu bir JSON nesnesidir. Base64URL, + ve / yerine - ve _ kullanır ve dolguyu atlar. Kodunu çözün, ardından algoritmayı okumak ve yazmak için JSON.parse komutunu kullanın. JWT Kod Çözücümüz bunu otomatik olarak yapar.

3. Base64URL-yükün kodunu çözer (talepler)

   Yük, JSON talep nesnesidir. Kayıtlı talepler arasında iss (verici), sub (konu), aud (hedef kitle), exp (son kullanma tarihi), nbf (önce değil), iat (verilme tarihi) ve jti (belirteç kimliği) bulunur. Özel talepler uygulamaya özeldir (ör. rol, e-posta). Şifreyi çözün ve inceleyin, ancak doğrulanana kadar güvenmeyin.

4. Son kullanma tarihini ve daha önce olmayan talepleri kontrol edin

   exp ve nbf Unix zaman damgalarıdır (saniye). Mevcut süre exp'yi geçmişse jetonun süresi dolmuştur ve reddedilmelidir. Geçerli saat nbf'den önceyse jeton henüz geçerli değildir. UX için bu istemci tarafını kontrol edin, ancak güvenlik için bunları sunucu tarafında uygulayın.

5. Sunucudaki imzayı doğrulayın (asla istemci tarafında değil)

   İmza, HS256 için HMAC-SHA256(gizli, başlık.payload) veya RS256/ES256 için RSA/ECDSA imzasıdır. Doğrulama, tarayıcıya asla ulaşmaması gereken gizli veya genel anahtarı gerektirir. Doğrulamak için jsonwebtoken (Node) veya jose gibi bir kitaplık kullanın; asla kendi kriptonuzu yazmayın.

Örnekler

Yaygın Sorunlar

• Kod çözmeyi doğrulama olarak ele alma: Herkes herhangi bir iddiayla ve sahte imzayla bir JWT oluşturabilir. Kod çözme, yükü okur ancak hiçbir şeyi kanıtlamaz. Taleplere güvenmeden önce her zaman imzayı sunucudaki gizli/genel anahtarla doğrulayın.
• 'Yok' algoritmasının kullanılması: JWT spesifikasyonu, güvenli olmayan belirteçler için alg: none'a izin verir. Doğrulayıcınız alg: none'u kabul ederse, saldırgan jetonları taklit edebilir. Kitaplığınızı hiçbirini reddedecek ve beklenen algoritmaları beyaz listeye alacak şekilde yapılandırın.
• JWT'leri localStorage'da depolamak: XSS, localStorage'ı okuyabilir ve belirteçleri dışarı çıkarabilir. Oturum belirteçleri için httpOnly, Secure, SameSite=Strict çerezlerini veya yenileme belirteçli çerez içeren kısa ömürlü bellek içi belirteçleri tercih edin.
• Exp/aud/iss kontrol edilmiyor: çalınan bir jeton, süresi dolana kadar geçerlidir. Hizmetler arasında belirtecin yeniden oynatılmasını önlemek için her istekte exp (son kullanma tarihi), aud (hedeflenen kitle) ve iss'i (verici) her zaman kontrol edin.

İpuçları

• Kısa ömürlü erişim belirteçleri (15 dakika) artı uzun ömürlü yenileme belirteçleri kullanın; bu, bir erişim belirtecinin çalınması durumunda pencereyi sınırlar.
• Birden fazla hizmet belirteçleri doğruladığında HS256 (simetrik) yerine RS256'yı (asimetrik) tercih edin: her hizmet genel anahtarı alır ve yalnızca verenin özel anahtarı vardır.
• Sunucunun ne yayınladığını denetlemek için geliştirme sırasında JWT Kod Çözücümüzü kullanın; bu, kodu çözülmüş başlığı, yükü ve belirteci herhangi bir yere göndermeden insanlar tarafından okunabilen bir talep özetini gösterir.
• Hassas verileri (şifreler, PII) hiçbir zaman JWT verisine koymayın; bu veriler Base64 kodlanmıştır, şifrelenmemiştir ve jetonu ele geçiren herkes her talebi okuyabilir.

İlgili Araçlar

• JWT Çözücü — Çöz JWT tokens and inspect the header and payload. See the decoded JSON content anında.
• Base64 Encode & Decode — Kodla and decode Base64 with UTF-8 support. anında, tamamen gizli, browser-based. Yükleme yok, no signup.
• Hash Üretici — Üret SHA-256, SHA-1, SHA-512 and SHA-384 hashes from any text. Uses Web Crypto API, fully tamamen gizli.
• URL Encode & Decode — Kodla and decode URL (percent-encoding) with UTF-8 support. anında, tamamen gizli, browser-based. Yükleme yok, no signup.
• JSON Formatlayıcı — Formatla, beautify and validate JSON anında tarayıcınızda. Yükleme yok, fully tamamen gizli.
• AES 256 Ver Entschlüsseln Çevrimiçi Kostenlos, Im navegador — AES 256 Ver Entschlüsseln Çevrimiçi Kostenlos, Im navegador ücretsiz çevrimiçi. Verileri anında tarayıcınızda işler. Yükleme yok, kayıt gerektirmez, tamamen gizli.
• AES Metin Encrypter Decrypter — AES Metin Encrypter Decrypter ücretsiz çevrimiçi. Verileri anında tarayıcınızda işler. Yükleme yok, kayıt gerektirmez, tamamen gizli.
• ASCII Table Reference — Browse the full ASCII table with decimal, hex, octal, and binary values in your browser. Free, online, no upload.

İlgili Kılavuzlar

• Base64 Kodlama ve Çözme: Tam Kılavuz
• Hash Algoritmaları Açıklandı: MD5, SHA-1, SHA-256, SHA-512

Referanslar

• RFC 7519 —JSON Web Token (JWT) — Official JWT specification
• RFC 7515 —JSON Web Signature (JWS) — How JWT signatures are computed
• jwt.io —JWT Debugger — Interactive JWT debugger by Auth0