Sicherheit von Webanwendungen · Senior · Frage 33 von 75
Was ist der Angriff durch Algorithmusverwechslung bei JWT (RS256 zu HS256)?
- 1Ein mit dem öffentlichen RSA-Schlüssel signiertes HS256-Token besteht die Prüfung
- 2Einen schwächeren Hash als SHA-256 zum Signieren aller Tokens nutzen
- 3Zwei Tokens mit verschiedenen Algorithmen in derselben Anfrage senden
Antwort zeigen
Richtige Antwort: Ein mit dem öffentlichen RSA-Schlüssel signiertes HS256-Token besteht die Prüfung
Erklärung
Wählt die Bibliothek den Algorithmus aus dem Header des Tokens, wird der öffentliche Schlüssel zum geteilten Geheimnis. Lege den erwarteten Algorithmus pro Schlüssel fest.