攻撃して学ぶJWT【ハンズオンあり】 - Money Forward Developers Blog

こんにちは。 マネーフォワードの新卒Railsエンジニア、きなこ と申します。 マネーフォワードX という組織で、日々プロダクトの開発に勤しんでおります😊 突然ですが皆さんは JWT という技術をご存知でしょうか？ 私は趣味でCTFというセキュリティコンテストに出場するのですが、最近ホットだと感じるのがJWTに関連する攻撃です。 今年の1月に初めてJWTを題材にした問題に遭遇し、その後JWTの出題頻度が強まっていると感じ、社内に向けてJWTにまつわる攻撃を通して学ぶための記事を書いたところ、たくさんの反応をいただきました。 今回の記事はその内容を社外向けにアレンジし、ハンズオンを通して実際にJWTを改竄し、受け取るAPIを攻撃することでJWT自体を学べるようにしたものです。 本記事はJWTに興味があるWeb開発者を想定していますが、そうでない方も楽しんでいただけるようにハンズオンを用意し

[smoking186]

cryptohackで実際に攻撃してみるといいですよ https://cryptohack.org/challenges/web/

[shoppingmalljp]

なんこれ

[kabuquery]

新卒のレベル高杉

[tkysktmt]

“John the ripperはオープンソースのパスワードクラックツールです”

[cpw]

これはいいね。議論が空中戦にならない

[ylgbk]

“Claim”

[takatama]

新卒エンジニア

[sudow]

入門によさそう

[ritou]

JWTのPayloadを変えつつ、algをnoneにすると署名検証すっ飛ばせるのでちゃんとやれという話。コード用意して解説する場合、安全/危険な2パターンの実装があるとその差分で説明できるのでより良いと思う。