JWT ডিকোড করুন

না — আর এই পেজের জন্য এটা কোনো ফিচার নয়, এটাই পুরো উদ্দেশ্য। একটি JWT সাধারণত সচল ক্রেডেনশিয়াল: মেয়াদ শেষ না হওয়া পর্যন্ত যার হাতে এটি থাকে, সে আপনার হয়ে কাজ করতে পারে। এমন অনলাইন ডিকোডারে এটি পেস্ট করা, যা সার্ভারে পাঠায়, মানে একটি কার্যকর চাবি তুলে দেওয়া, আর লগ না রাখার কোনো প্রতিশ্রুতিই তা ফেরাতে পারে না। এই ডিকোডার হলো আপনার সামনের পেজেই থাকা সাধারণ JavaScript। কিছুই সংরক্ষণ করা হয় না, কিছুই লগ করা হয় না, কোনো রিকোয়েস্ট পাঠানো হয় না। পেজ লোড হওয়ার পর Wi-Fi বন্ধ করে দিন, এটি হুবহু একইভাবে কাজ করবে। আমাদের কথায় বিশ্বাস না করে নিজেই গোপনীয়তার দাবিটি যাচাই করার এটাই সবচেয়ে সহজ উপায়।

না, আর আপনার সাইনিং কি ছাড়া কোনো অনলাইন ডিকোডার সৎভাবে তা পারেও না। ডিকোড করা আর ভেরিফাই করা সম্পূর্ণ আলাদা কাজ। ডিকোড করা মানে শুধু টোকেনের Base64 খুলে ফেলা — যে কেউ যেকোনো টোকেনে তা করতে পারে, আর টোকেনটি আসল কি না সে ব্যাপারে এটি কিছুই প্রমাণ করে না। ভেরিফাই করা মানে যে সিক্রেট বা পাবলিক কি দিয়ে সাইন করা হয়েছিল, তা দিয়ে সিগনেচারটি আবার হিসাব করা, আর সেই কি কখনোই কোনো ওয়েবসাইটে পেস্ট করা উচিত নয়। এখানে যা দেখছেন, তা টোকেনের দাবি। সেই দাবি বিশ্বাসযোগ্য কি না, এর উত্তর দিতে পারে শুধু কি-ধারী আপনার সার্ভার।

হ্যাঁ — পুরোটাই, আর এখানেই মানুষ ধরা খায়। JWT সাইন করা, এনক্রিপ্ট করা নয়। হেডার ও পেলোড Base64, যা এমন একটি এনকোডিং যাতে কোনো গোপন কিছু নেই, তাই টোকেনটি যে-ই মাঝপথে ধরুক, ভেতরের প্রতিটি ক্লেইম পড়তে পারবে। সিগনেচার তাদের টোকেন বদলানো থেকে আটকায়; পড়া থেকে আটকাতে কিছুই করে না। JWT পেলোডে কখনো গোপনীয় কিছু রাখবেন না: পাসওয়ার্ড নয়, কার্ড নম্বর নয়, এমন কোনো ব্যক্তিগত তথ্য নয় যা পোস্টকার্ডে লিখতেন না।

মানে টোকেনটি বলছে সে সাইন করা নয়, আর এই পেজ যা জানায় তার মধ্যে এটি সবচেয়ে গুরুতরগুলোর একটি। `alg: none` একটি নথিভুক্ত অথেন্টিকেশন বাইপাস: আক্রমণকারী একটি আসল টোকেন নেয়, পেলোড বদলে লেখে যে সে অ্যাডমিনিস্ট্রেটর, অ্যালগরিদম “none” করে দেয়, সিগনেচার সরিয়ে ফেলে, আর যে লাইব্রেরি হেডারে বিশ্বাস করে সে তা গ্রহণ করে। এখন প্রতিটি নির্ভরযোগ্য JWT লাইব্রেরি ডিফল্টভাবে এটি আটকায়, কিন্তু `alg`-এ বিশ্বাস করা ইমপ্লিমেন্টেশন এখনো আছে। `alg: none` নিয়ে আসা টোকেনকে উল্টোটা প্রমাণ না হওয়া পর্যন্ত আক্রমণ হিসেবেই ধরা উচিত।

সেটা আপনার জন্য করে দেওয়া হয়। `exp`, `iat` ও `nbf` হলো Unix টাইমস্ট্যাম্প — ১৯৭০ সাল থেকে সেকেন্ডের সংখ্যা — যা কাঁচা সংখ্যা হিসেবে পড়া যায় না। প্রতিটি আপনার নিজের টাইমজোনে আসল তারিখ হিসেবে দেখানো হয়, কতক্ষণ আগে বা কতক্ষণ পরে তা-সহ, আর মেয়াদোত্তীর্ণ টোকেন হলে আপনাকে হিসাব কষতে না দিয়ে স্পষ্ট করে বলা হয়। যে টোকেনে `exp` একেবারেই নেই, সেটিও চিহ্নিত করা হয়: যে JWT-এর মেয়াদ কখনো শেষ হয় না, তা মেয়াদ দিয়ে বাতিল করা যায় না, আর সাইনিং কি যতদিন বৈধ, ততদিন বৈধ থাকে।

তাহলে এটি JWE — শুধু সাইন করা নয়, এনক্রিপ্ট করা — আর ডিক্রিপশন কি ছাড়া এর ভেতরের কিছু সত্যিই পড়া যায় না। পেজ এর গঠন চিনে ফেলে এবং অর্থহীন কিছু না দেখিয়ে আপনাকে তা জানায়। পাঁচটি অংশ মানে পেলোডটি সত্যিকারের সাইফারটেক্সট; ডিকোড করার কিছু নেই।

নিবন্ধিত ক্লেইমগুলো হলো: `iss` কে ইস্যু করেছে, `sub` কার সম্পর্কে (সাধারণত একটি ইউজার আইডি), `aud` কার জন্য, `exp` কখন মেয়াদ শেষ, `nbf` কখনের আগে বৈধ নয়, `iat` কখন ইস্যু হয়েছে, আর `jti` টোকেনের একটি অনন্য আইডি। বাকি সবকিছু সিস্টেমটি যে বানিয়েছে তার নিজস্ব। আউটপুটে প্রতিটি নিবন্ধিত ক্লেইমের পাশে তার অর্থ লেখা থাকে, তাই কোন তিন-অক্ষরের সংক্ষেপ কী বোঝায় তা মনে রাখার দরকার নেই।