JSON Webトークンの脆弱な秘密

high Web App Scanning プラグイン ID 112697

Language:

概要

JSON Webトークンの脆弱な秘密

説明

JSON Web トークンは、データ改ざんから保護するために署名できます。非対称または対称署名アルゴリズムを使用することで、アプリケーションはトークンデータの署名を処理します。署名はトークンのデコード中に検証され、整合性が確保されます。対称アルゴリズムを使用する場合、署名は選択された HMAC 関数と秘密鍵から作成されます。

脆弱なキーを使用すると、ブルートフォース攻撃に対して脆弱になり、アプリケーションに代わってトークンを操作および署名できるようになります。トークンの使用方法によっては、攻撃者がこの脆弱性を利用して有効なトークンを偽造し、他のユーザーになりすましたり、さらに権限を取得したりする可能性があります。

ソリューション

ブルートフォース攻撃で取得されないように、アプリケーションで JSON Web トークンに署名するために使用される秘密鍵は、より強力 (長くランダム) である必要があります。注意: JSON Web アルゴリズム標準 (RFC 7518) では、HMAC アルゴリズムで使用されるハッシュ関数のサイズ (ビット単位) と等しくなるように、最小キー長を定義しています。