JWTセキュリティ入門

SECCON Beginners Live 2023「JWTセキュリティ入門」の発表資料です。

[T-miura]

こんなん、まともなライブラリ使ってればケアしててほしんだが、、この辺ガバガバの実装どれくらいあるんだろうか？

[uzuki05]

“JWT検証時にアルゴリズムを指定する”

[prograti]

JWTのペイロードに機微な情報が含まれているケースがよくあるんだけど、あれは止めた方が良い気がしますね

[ed_v3]

verifyじゃなくてdecodeしかしないライブラリ普通にあると思うが。

[jinjin442]

JWTはJDON Web Token。ユーザー情報を保持し、改ざん検知ができる文字列。ヘッダ、ペイロード、署名で構成される。

[onesplat]

署名検証の機能を持たないJWTライブラリなんて存在するのかよ > ブコメ

[t_f_m]

あとで

[Phenomenon]

めちゃくちゃためになるー〜

[maninthemiddle]

攻撃手法勉強になった。結構多くの人がライブラリ任せで使用してるデフォルトでこれらの攻撃に耐えられる設定になってるんだろうか

[mak_in]

JWT検証がライブラリで提供無かったり、あっても何やってるか知りたいからソース見に行ったりして、地味にJWT検証のアルゴリズムは見る。理解してない人だとテスト時にパラメータを間違えがちで、フォローする機会多い

[mk173]

色んなところで使われるけど、そもそも何なのかということを理解してなかった