JWT-dekooderi

Näin puret JWT:n

1. Liitä token kenttään JSON Web Token. Myös koko Authorization: Bearer … -arvo kelpaa: Bearer-etuliite ja rivinvaihdot poistetaan automaattisesti.
2. Token puretaan kirjoittaessasi (tai napsauta Pura). Otsake ja Sisältö näkyvät muotoiltuna JSONina, ja kummallakin on oma Kopioi-painike.
3. Lue Aikakentät-taulukko: exp, nbf ja iat näytetään raakaarvona, päivämääränä omalla aikavyöhykkeelläsi, suhteellisena aikana (“3 tunnin kuluttua”, “2 päivää sitten”) ja tilana, kuten Vanhentunut tai Ei vielä voimassa.
4. Tarkista tulosten yläpuolella olevat varoitukset, esimerkiksi kun alg on none tai kun päivämäärä näyttää olevan millisekunteja.
5. Allekirjoituksen voit tarkistaa antamalla avaimen kohdassa Tarkista allekirjoitus ja napsauttamalla Tarkista allekirjoitus -painiketta.

Purkaminen ei ole tarkistamista

JWT koostuu kolmesta pisteillä erotetusta Base64url-osasta: otsake.sisältö.allekirjoitus. Otsake ja sisältö on vain koodattu, ei salattu, joten kuka tahansa tokenin haltija voi lukea ne, ja tämä työkalu purkaa minkä tahansa tokenin ilman avainta. Siksi puretun sisällön perusteella ei voi päätellä mitään luotettavaa: joku on voinut muokata sitä. Vasta kelvollinen allekirjoitus osoittaa, että token on peräisin avaimen haltijalta eikä sitä ole muutettu. Tilarivillä lukee siksi “Purettu (allekirjoitusta ei ole tarkistettu)”, kunnes tarkistat sen.

Jos tokenissa on viisi osaa, se on JWE eli salattu JWT. Sen sisältöä ei voi lukea ilman salauksen purkuavainta, ja työkalu kertoo tämän.

Allekirjoituksen tarkistaminen

• HS256, HS384, HS512 (HMAC): anna jaettu Salaisuus. Kohdassa Salaisuuden muoto valitset, onko se tavallista tekstiä (UTF-8) vai Base64/Base64urlia, sillä jotkin palveluntarjoajat tallentavat salaisuudet Base64-muodossa. Voit myös liittää oct-tyyppisen JWK:n. Jos salaisuus on lyhyempi kuin tiivisteen pituus (32 tavua HS256:ssa), työkalu huomauttaa, että se alittaa RFC 7518:n vähimmäisvaatimuksen.
• RS256/384/512, PS256/384/512, ES256/384/512 ja EdDSA: liitä Julkinen avain (PEM tai JWK). Hyväksyttyjä PEM-lohkoja ovat PUBLIC KEY, RSA PUBLIC KEY ja CERTIFICATE (avain luetaan X.509-varmenteesta). Myös JWK tai kokonainen JWK Set käy: käytetään avainta, jonka kid vastaa otsakkeen arvoa. Yksityiset avaimet hylätään, koska tarkistaja ei koskaan tarvitse sellaista. EdDSA tukee Ed25519:ää selaimissa, joiden Web Crypto sen toteuttaa.

Tarkistus käyttää selaimen Web Crypto API:a. Tulos “Virheellinen allekirjoitus” tarkoittaa, että avain on väärä tai tokenia on muokattu. Huomaa, että algoritmi luetaan tokenin otsakkeesta: oikean palvelimen on sen sijaan kiinnitettävä odotettu algoritmi omiin asetuksiinsa, muuten hyökkääjä voi valita sen.

Tietoturvahuomioita

• Tokenit ovat tunnistetietoja. Voimassa olevan käyttöoikeustokenin haltija voi yleensä toimia sen omistajana, kunnes token vanhenee. Tämä työkalu purkaa ja tarkistaa kaiken selaimessasi eikä lähetä tokenia tai avainta minnekään. Vältä silti tuotantotokenien liittämistä työkaluihin, joita et voi tarkastaa.
• alg: none tarkoittaa allekirjoittamatonta tokenia. Kuka tahansa voi väärentää sellaisen, ja palvelimen on hylättävä se. Työkalu näyttää varoituksen eikä suostu “tarkistamaan” tällaista tokenia.
• Aikatarkistuksissa käytetään tietokoneesi kelloa ilman toleranssia; palvelimet sallivat usein minuutin tai kahden kellopoikkeaman.
• JWT-päivämäärät (NumericDate) ovat sekunteja 1.1.1970 UTC:stä. 13-numeroinen arvo on todennäköisesti millisekunteja, mikä on yleinen ohjelmointivirhe.