FixVibe
Covered by FixVibehigh

JWT Haumarutanga: Morearea o nga Tohu Karekau me te Whakamana Kereme Ngaro

Ko nga Tohu Tukutuku a JSON (JWTs) e whakarato ana i te paerewa mo te whakawhiti kerēme, engari ka whakawhirinaki te haumarutanga ki te whakamana kaha. Ko te kore e manatoko i nga hainatanga, te wa paunga, te hunga whakarongo ranei ka taea e te hunga whakaeke ki te karo i te motuhēhēnga, te whakaari ano ranei i nga tohu.

CWE-347CWE-287CWE-613

Paanga Kaieke

Ko te whakamanatanga JWT hē ka taea e nga kaiwhaiwhai te karo i nga tikanga whakamotuhēhē mā te hanga kerēme me te whakamahi anō i ngā tohu kua pau [S1]. Mena ka whakaaehia e te tūmau nga tohu me te kore he hainatanga whaimana, ka taea e te kaiwhaiwhai te whakarereke i te utu ki te whakanui ake i nga painga, ki te tarai ranei i tetahi kaiwhakamahi [S1]. I tua atu, ki te kore e whakamana i te kerēme mo te paunga (exp) ka taea e te kaitukino te whakamahi i tetahi tohu taupatupatu mo te wa katoa [S1].

Take Putake

Ko te Tohu Tukutuku JSON (JWT) he hanganga-a-JSON e whakamahia ana hei tohu i nga kereme kua hainatia a-mati, kua tiakina tika ranei [S1]. Ko nga rahunga haumarutanga i te nuinga o te waa ka ahu mai i nga waahi whakatinanatanga tuatahi e rua:

  • Whakaaetanga mo nga JWT Karekau i te Haumaru: Ki te kore te ratonga e tino whakamana i te manatoko hainatanga, ka taea e ia te whakahaere "Nga JWT Karekau" kei te ngaro te hainatanga ka whakatauhia te algorithm ki te "kore" [S1]. I tenei ahuatanga, ka whakawhirinaki te kaimau ki nga kereme kei roto i te utu utu me te kore e manatoko i to raatau pono [S1].
  • Ko te Whakamana Kerēme Ngaro: Ko te kerēme exp (wa paunga) e tohu ana i te wa i muri mai ranei e kore e whakaaetia te JWT mo te tukatuka [S1]. Ko te kerēme aud (te hunga whakarongo) e tohu ana i nga kaiwhiwhi e hiahiatia ana o te tohu [S1]. Ki te kore enei e takina, ka whakaaehia pea e te tūmau nga tohu kua pau, i whakaarohia ranei mo tetahi atu tono [S1].

Whakatika Raima

  • Whakamana Waitohu Kuputuhi: Whirihorahia te tono ki te whakakore i nga JWT karekau e whakamahi i te hainatanga hainatanga i mua i te whakaaetanga (penei i te RS256).
  • Whakamana Whakamutunga: Whakaritehia he haki whakahau kia mohio ko te ra me te wa o naianei kei mua i te waa kua tohua ki te kereme exp [S1].
  • Manatokohia te hunga whakarongo: Me whakarite kei roto i te kerēme aud he uara e tohu ana i te ratonga rohe; ki te kore e tautuhia te ratonga i roto i te kerēme aud, me whakakore te tohu [S1].
  • Aukati Replay: Whakamahia te kerēme jti (JWT ID) ki te tautapa i tetahi tohu tohu motuhake ki ia tohu, ka taea e te tūmau te whai me te whakakore i nga tohu [S1].

Rautaki Rapu

Ko nga whakaraeraetanga i roto i te whakahaerenga JWT ka taea te tautuhi ma te tātari i te hanganga tohu me te whanonga whakautu a te tūmau:

  • Tirohanga Pane: Te tirotiro i te pane alg (algorithm) kia kaua e tautuhia ki te "kore" me te whakamahi i nga paerewa cryptographic e tumanakohia ana [S1].
  • Whakaaetanga Kereme: Te whakapumau i te noho me te mana o nga kereme exp (paunga) me te aud (te hunga whakarongo) i roto i te utu utu JSON [S1].
  • Whakamatau Whakamana: Whakamatau mena ka paopao tika te kaimau i nga tohu kua pau i runga i te kerēme exp, kua whakaritea ranei mo te hunga whakarongo rereke kua tautuhia e te kereme aud [S1].