Bezpieczeństwo aplikacji webowych · Senior · Pytanie 33 z 75
Czym jest atak pomylenia algorytmów JWT (RS256 na HS256)?
- ✓Poprawna odpowiedź: Atakujący podpisuje token HS256, używając publicznego klucza RSA serwera jako sekretu HMAC, a naiwna weryfikacja go akceptuje
- 2Użyciem słabszej funkcji skrótu niż SHA-256
- 3Wysłaniem dwóch tokenów z różnymi algorytmami
Wyjaśnienie
Jeśli biblioteka wybiera algorytm z nagłówka tokenu, klucz publiczny staje się wspólnym sekretem. Przypinaj oczekiwany algorytm do każdego klucza.