Веб-безпека · Senior · Запитання 33 з 75
Що таке атака плутанини алгоритмів JWT (RS256 на HS256)?
- ✓Правильна відповідь: Зловмисник підписує токен HS256, використовуючи відкритий RSA-ключ сервера як секрет HMAC, а наївна перевірка приймає його
- 2Використання слабшої хеш-функції, ніж SHA-256
- 3Надсилання двох токенів із різними алгоритмами
Пояснення
Якщо бібліотека бере алгоритм із заголовка токена, відкритий ключ стає спільним секретом. Фіксуйте очікуваний алгоритм для кожного ключа.