セキュリティ視点からの JWT 入門 - blog of morioka12

こんにちは、ISC 1年 IPFactory 所属の morioka12 です。 この記事は IPFactory Advent Calendar 2020 の10日目の分になります。 IPFactory という技術サークルについては、こちらを参照ください。 本記事の最後に記載されている余談でも IPFactory の詳細を紹介しています。 はてなブログに投稿しました #はてなブログ IPFactory Advent Calendar 2020 の10日目の記事を書きました#JWT #security セキュリティ視点からの JWT 入門 - blog of morioka12https://t.co/g1MYe77hAF — morioka12 (@scgajge12) 2020年12月10日 普段は Web Security や Cloud Security 、バグバウンティなどを興味分

[braitom]

JWTのセキュリティリスクについて。JWTの脆弱性を突いた攻撃の種類とその方法、セキュアな実装にするためのベストプラクティスなどがまとめられている。

[kotas]

セキュリティリスクまで含んだ良いまとめだった

[ko-ya-ma]

基本的な仕組みから攻撃・防御手法まで

[tettekete37564]

“3. JWT のセキュリティリスク ここからが本記事のメインになります。 ”

[marutaku0131]

わ

[gachapining]

無言ブクマ

[metatrading]

勉強になる。

[Keisuke69]

ちょうど最近JWTの話になったので読んでみたらすごいまとめだった

[yarumato]

“JWT(ジョット)は、ユーザー情報などをJSON形式で保持して改竄を検知可能なトークンです。トークン(Token)とはサーバーが必要なクライアント認証情報を含んだ文字列。以下の場面で使用：ログイン認証、アクセス許可”

[dai_yamashita]

jwt

[ritou]

自分の記事も参考リンクに挙げていただいて感謝。kidが悪用のところだけしか活躍できなかったのはちょっと残念。

[efcl]

JWTのセキュリティチェック項目。 eyJ、署名の検証がちゃんとできているのかのチェック方法、burpを使った改ざんのテスト、実際の脆弱性事例など

[nijitaro]

RS256の公開鍵をHS256の共通鍵として改ざんするの結構エグいな。RS256,HS256両対応のライブラリ普通にあるのでRS256以外は塞いでおくのが吉かも。

[castaneai]

jwtの攻撃手法

[suekunhello]

ありがとう