FixVibe
Covered by FixVibehigh

JWT Nageenya: Balaa Tookiin Wabii Hin Qabne fi Mirkaneessuu Himannaa Dhabe

jedhamuun beekama ZXCVFIXVIBESEG2 JSON Web Tokens (JWTs) himannaa dabarsuudhaaf istaandaardii ni kennu, garuu nageenyi mirkaneessuu cimaa irratti hirkata. Mallattoo, yeroo xumuraa, ykn dhaggeeffattoota yaadaman mirkaneessuu dhabuun haleellaan mirkaneessuu akka bira darban ykn mallattoolee irra deebi'anii akka taphatan hayyama.

CWE-347CWE-287CWE-613

jedhamuun beekama ZXCVFIXVIBESEG3

Dhiibbaa Haleellaa

jedhamuun beekama ZXCVFIXVIBESEG4 Mirkaneessi JWT sirrii hin taane haleellaan himannaa sobaa ykn mallattoo yeroon isaa darbe irra deebi'anii fayyadamuudhaan mala mirkaneessuu akka bira darban hayyama [S1]. Yoo sarvariin mallattoo sirrii malee mallattoolee fudhate, haleellaan tokko fe'iinsa kaffaltii fooyyessuudhaan mirga guddisuu ykn fayyadamaa kamiyyuu fakkeessuu danda'a [S1]. Kana malees, himannaa yeroon isaa darbe (exp) dirqisiisuu dhabuun haleellaan tokko mallattoo balaadhaaf saaxilame yeroo hin murtoofneef [S1] akka fayyadamu hayyama.

jedhamuun beekama ZXCVFIXVIBESEG5

Hundee Sababaa

jedhamuun beekama ZXCVFIXVIBESEG6 Mallattoo Weebsaayitii JSON (JWT) caasaa JSON irratti hundaa'ee kan himannaawwan dijiitaalaan mallattaa'an ykn qulqullina eegumsa argatan bakka bu'uuf fayyadamudha [S1]. Kufaatiin nageenyaa akkaataa idileetti qaawwa hojiirra oolmaa jalqabaa lama irraa madda:

jedhamuun beekama ZXCVFIXVIBESEG7

  • Fudhatama JWTs Nageenya Hin Qabne: Tajaajilli tokko mirkaneessa mallattoo cimsee yoo hin dirqisiisne, bakka mallattoon hin jirree fi algoritmiin gara "tokkollee" [S1]tti saagame "JWTs hin eegamne" adeemsisuu danda'a. Haala kana keessatti, sarvarichi qulqullina isaanii osoo hin mirkaneessin himannaawwan fe'umsa keessa jiran ni amana [S1].

jedhamuun beekama ZXCVFIXVIBESEG8

  • Mirkaneessuu Himannaa Dhabe: Himannaan exp (yeroo xumuraa) yeroo JWT adeemsa [S1] irratti fudhatamuu hin qabne ykn booda adda baasee ibsa. Himannaan aud (dhaggeeffattoota) fudhattoota yaadame mallattoo [S1] adda baasee ibsa. Yoo kunniin hin sakatta'amne, sarvarichi mallattoolee yeroon isaanii darbe ykn aplikeeshinii adda ta'eef yaadame [S1] fudhachuu danda'a.

jedhamuun beekama ZXCVFIXVIBESEG9

Sirreeffama Konkiriitii

jedhamuun beekama ZXCVFIXVIBESEG10 irratti kan argamu

  • Mallattoo Kiriptoogiraafii Dirqisiisi: JWT kamiyyuu kan dursee mirkanaa'e, algoritmiin mallattoo cimaa hin fayyadamne (kan akka RS256) akka didu application qindeessii.

jedhamuun beekama ZXCVFIXVIBESEG11

  • Dhuma Dhuma Mirkaneessi: Guyyaa fi sa'aatiin ammaa sa'aatii himannaa exp [S1] keessatti ibsame dura akka ta'e mirkaneessuuf sakatta'iinsa dirqamaa hojiirra oolchi.

jedhamuun beekama ZXCVFIXVIBESEG12 irratti kan argamu

  • Dhaggeeffattoota Mirkaneessi: Himannaan aud gatii tajaajila naannoo adda baasu akka of keessaa qabu mirkaneessi; yoo tajaajilichi himannaa aud keessatti adda hin baafamne, mallattoon fudhatama dhabuu qaba [S1].

jedhamuun beekama ZXCVFIXVIBESEG13

  • Irra Deebi'anii Taphachuu Ittisuu: Tokkoon tokkoon mallattoodhaaf adda baastuu addaa ramaduuf himannaa jti (JWT ID) fayyadami, kunis sarvarichi mallattoolee irra deebi'amee fayyadaman akka hordofuu fi didu [S1].

jedhamuun beekama ZXCVFIXVIBESEG14

Tooftaa Adda Baafachuu

jedhamuun beekama ZXCVFIXVIBESEG15 irratti kan argamu Saaxilamummaan JWT qabachuu keessatti caasaa mallattoo fi amala deebii sarvarii xiinxaluudhaan adda baafamuu danda'a: jedhamuun beekama ZXCVFIXVIBESEG16

  • Inspeekshinii Mata duree: Mata duree alg (algorithm) "none" irratti akka hin saagamne mirkaneessuuf sakatta'uu fi istaandaardii kirptoogiraafii eegamu [S1] fayyadama.

jedhamuun beekama ZXCVFIXVIBESEG17

  • Mirkaneessa Himannaa: Jiraachuu fi sirrii ta'uu himannaa exp (yeroo xumuraa) fi aud (dhaggeeffattoota) fe'umsa JSON [S1] keessaa mirkaneessuu.

jedhamuun beekama ZXCVFIXVIBESEG18

  • Qorannoo Mirkaneessuu: Yoo sarvarichi mallattoolee akkaataa himannaa exp tti yeroon isaanii darbe ykn akka himannaa aud [S1] tiin ibsametti dhaggeeffattoota adda ta'eef yaadaman sirritti dide qorachuu.