JWT 디코딩

아니요. 그리고 이 페이지에서는 그것이 하나의 기능이 아니라 존재 이유 그 자체입니다. JWT는 보통 실제로 쓰이는 인증 정보입니다. 토큰을 가진 사람은 만료될 때까지 여러분인 척 행동할 수 있습니다. 토큰을 서버로 전송하는 온라인 디코더에 붙여 넣으면 작동하는 열쇠를 넘겨주는 것이며, 로그를 남기지 않겠다는 어떤 약속도 이를 되돌릴 수 없습니다. 이 디코더는 지금 보고 있는 페이지 안의 평범한 JavaScript입니다. 아무것도 저장하지 않고, 로그도 남기지 않으며, 어떤 요청도 보내지 않습니다. 페이지를 불러온 뒤 Wi-Fi를 꺼도 똑같이 작동합니다. 저희 말을 믿는 대신 개인정보 보호 주장을 직접 확인하는 가장 간단한 방법입니다.

아니요. 서명 키 없이 그것을 정직하게 할 수 있는 온라인 디코더는 없습니다. 디코딩과 검증은 완전히 다른 작업입니다. 디코딩은 토큰의 Base64를 풀기만 할 뿐이며, 누구나 어떤 토큰에든 할 수 있고, 토큰이 진짜인지에 대해서는 아무것도 증명하지 못합니다. 검증은 토큰에 서명한 비밀 키나 공개 키로 서명을 다시 계산하는 것이며, 그 키는 절대 웹사이트에 붙여 넣으면 안 됩니다. 여기서 보이는 것은 토큰이 스스로 ‘주장하는’ 내용입니다. 그 주장을 믿을 수 있는지는 키를 가진 여러분의 서버만 답할 수 있습니다.

네, 전부 읽을 수 있으며, 많은 사람이 이 점을 놓칩니다. JWT는 서명된 것이지 암호화된 것이 아닙니다. 헤더와 페이로드는 비밀이 전혀 없는 인코딩인 Base64이므로, 토큰을 가로챈 사람은 안의 모든 클레임을 읽을 수 있습니다. 서명은 토큰을 ‘바꾸는’ 것을 막을 뿐, ‘읽는’ 것은 전혀 막지 못합니다. JWT 페이로드에는 기밀을 절대 넣지 마세요. 비밀번호, 카드 번호, 엽서에 적지 않을 개인 정보는 넣으면 안 됩니다.

토큰이 스스로 서명되지 않았다고 말한다는 뜻이며, 이 페이지가 보고하는 것 중 가장 심각한 발견 중 하나입니다. `alg: none`은 잘 알려진 인증 우회 수법입니다. 공격자는 실제 토큰을 가져와 페이로드를 관리자라고 바꾸고, 알고리즘을 “none”으로 설정하고, 서명을 지웁니다. 그러면 헤더를 믿는 라이브러리가 이를 받아들입니다. 제대로 된 JWT 라이브러리는 이제 모두 기본적으로 이를 차단하지만, `alg`를 믿는 구현은 여전히 존재합니다. `alg: none`인 토큰이 들어오면 아니라는 것이 증명될 때까지 공격으로 간주해야 합니다.

알아서 읽어 드립니다. `exp`, `iat`, `nbf`는 1970년부터 센 초 단위의 Unix 타임스탬프라 숫자 그대로는 읽을 수 없습니다. 각각을 사용자의 시간대에 맞춘 실제 날짜로, 얼마 전인지 또는 얼마 후인지와 함께 보여 드리며, 만료된 토큰은 직접 계산하게 두지 않고 분명하게 알려 드립니다. `exp`가 아예 없는 토큰도 표시합니다. 만료되지 않는 JWT는 만료로 무효화될 수 없으며, 서명 키가 유효한 동안 계속 유효합니다.

그렇다면 서명만 된 것이 아니라 암호화된 JWE이며, 복호화 키 없이는 내용을 정말로 읽을 수 없습니다. 페이지가 이 형태를 인식해 알아볼 수 없는 내용을 보여 주는 대신 그렇다고 알려 드립니다. 다섯 부분이라는 것은 페이로드가 실제 암호문이라는 뜻이며, 디코딩할 것이 없습니다.

등록된 클레임은 다음과 같습니다. `iss`는 발급자, `sub`는 토큰이 가리키는 주체(보통 사용자 ID), `aud`는 토큰을 받을 대상, `exp`는 만료 시각, `nbf`는 유효 시작 시각, `iat`는 발급 시각, `jti`는 토큰의 고유 ID입니다. 그 밖의 것은 모두 시스템을 만든 쪽이 정한 사용자 정의 클레임입니다. 결과에서 등록된 클레임마다 의미를 표시해 드리므로, 세 글자 약어가 각각 무엇인지 외울 필요가 없습니다.