FixVibe
Covered by FixVibehigh

Aabo JWT: Awọn eewu ti Awọn ami-ipamọ ti ko ni aabo ati Ifọwọsi Ijẹri ti o padanu

JSON Web Tokens (JWTs) pese boṣewa fun gbigbe awọn ẹtọ, ṣugbọn aabo da lori afọwọsi lile. Ikuna lati mọ daju awọn ibuwọlu, awọn akoko ipari, tabi awọn olugbo ti a pinnu gba awọn ikọlu laaye lati fori ijẹrisi tabi tun ṣe awọn ami ami.

CWE-347CWE-287CWE-613

Ipa Attacker

Imudaniloju JWT ti ko tọ gba awọn olukolu laaye lati fori awọn ọna ṣiṣe ijẹrisi nipasẹ sisọ awọn ẹtọ tabi tunlo awọn ami ti o pari [S1]. Ti olupin ba gba awọn ami laisi ibuwọlu ti o wulo, ikọlu le ṣe atunṣe fifuye isanwo lati mu awọn anfani pọ si tabi ṣe apẹẹrẹ olumulo eyikeyi [S1]. Pẹlupẹlu, ikuna lati fi ipa mu ipari ipari (exp) gba ẹni ti o kọlu laaye lati lo ami ikọlu kan titilai [S1].

Gbongbo Idi

A JSON Web Tokini (JWT) jẹ ipilẹ-orisun JSON ti a lo lati ṣe aṣoju awọn ẹtọ ti o jẹ ami oni nọmba tabi aabo ni aabo [S1]. Awọn ikuna aabo jẹ deede lati awọn ela imuse akọkọ meji:

  • Gbigba awọn JWT ti ko ni aabo *: Ti iṣẹ kan ko ba fipa mu ijẹrisi Ibuwọlu mu muna, o le ṣe ilana “Awọn JWT ti ko ni aabo” nibiti ibuwọlu ko si ati pe a ṣeto algorithm si “ko si” [S1]. Ni oju iṣẹlẹ yii, olupin naa gbẹkẹle awọn ẹtọ ni fifuye isanwo laisi ijẹrisi iduroṣinṣin wọn [S1].
  • Afọwọsi Ipe ti o padanu *: exp (akoko ipari) n ṣe idanimọ akoko lori tabi lẹhin eyiti JWT ko gbọdọ gba fun sisẹ [S1]. aud (olugbo) ẹtọ ti n ṣe idanimọ awọn olugba ti a pinnu ti aami [S1]. Ti o ko ba ṣayẹwo awọn wọnyi, olupin le gba awọn ami-ami ti o ti pari tabi ti a pinnu fun ohun elo miiran [S1].

Awọn atunṣe Nja

  • Fi agbara mu Awọn Ibuwọlu Cryptographic *: Tunto ohun elo lati kọ eyikeyi JWT ti ko lo ami-fọwọsi tẹlẹ, algoridimu fawabale lagbara (bii RS256).
  • Ipari ipari *: Ṣiṣe ayẹwo ti o jẹ dandan lati rii daju pe ọjọ ati akoko ti o wa lọwọlọwọ wa ṣaaju akoko ti a pato ninu ẹtọ exp [S1].
  • Daju Olugbo *: Rii daju pe ẹtọ aud ni iye kan ti n ṣe idanimọ iṣẹ agbegbe; ti o ba ti awọn iṣẹ ti ko ba damo ni aud nipe, gbọdọ àmi kọ [S1].
  • Dena Sisisẹsẹhin *: Lo jti (JWT ID) nipe a fi oto idamo si kọọkan àmi, gbigba awọn olupin lati orin ati ki o kọ atunlo àmi [S1].

Ilana Iwari

Awọn ailagbara ni mimu JWT le ṣe idanimọ nipasẹ ṣiṣe itupalẹ eto ami ati ihuwasi idahun olupin:

  • Ayẹwo akọsori *: Ṣiṣayẹwo akọsori alg (algorithm) lati rii daju pe ko ṣeto si “ko si” ati pe o lo awọn iṣedede cryptographic ti a nireti [S1].
  • Imudaniloju Imudaniloju *: Ijẹrisi wiwa ati iwulo ti exp (ipari) ati awọn ẹtọ aud (olugbo) laarin JSON payload [S1].
  • Idanwo afọwọsi *: Idanwo ti olupin ba kọ awọn ami ti o tọ ti o ti pari ni ibamu si ẹtọ exp tabi ti pinnu fun olugbo ti o yatọ gẹgẹbi asọye nipasẹ ẹtọ aud [S1].