Giải mã JWT

Không — và với trang này, đó là toàn bộ ý nghĩa của nó chứ không phải một tính năng. JWT thường là thông tin xác thực đang có hiệu lực: ai nắm giữ nó đều có thể hành động với tư cách là bạn cho đến khi nó hết hạn. Dán một token vào công cụ giải mã online có gửi nó lên máy chủ là trao đi một chiếc chìa khóa dùng được, và không lời hứa không ghi log nào có thể xóa bỏ điều đó. Bộ giải mã này là JavaScript thuần trong chính trang bạn đang xem. Không lưu trữ gì cả, không ghi log gì cả, không có yêu cầu nào được gửi đi. Sau khi trang tải xong, hãy tắt Wi-Fi và nó vẫn hoạt động y như cũ. Đó là cách đơn giản nhất để tự mình xác nhận lời cam kết về quyền riêng tư thay vì chỉ tin lời chúng tôi.

Không, và không công cụ giải mã online nào làm được việc đó một cách trung thực nếu không có khóa ký của bạn. Giải mã và xác minh là hai thao tác hoàn toàn khác nhau. Giải mã chỉ là gỡ lớp Base64 của token — ai cũng làm được với bất kỳ token nào, và nó hoàn toàn không chứng minh được token có thật hay không. Xác minh nghĩa là tính lại chữ ký bằng khóa bí mật hoặc khóa công khai đã ký nó, và khóa đó không bao giờ nên được dán vào một website. Thứ bạn thấy ở đây là điều token KHAI BÁO. Những khai báo đó có đáng tin hay không là câu hỏi mà chỉ máy chủ của bạn, nơi giữ khóa, mới trả lời được.

Có — đọc được toàn bộ, và điều này khiến nhiều người bất ngờ. JWT được ký, không được mã hóa. Header và payload là Base64, một kiểu mã hóa ký tự không chứa bí mật nào, nên bất kỳ ai chặn được token đều đọc được mọi claim bên trong. Chữ ký ngăn họ SỬA token; nó không ngăn được họ ĐỌC token. Đừng bao giờ đưa thứ gì bí mật vào payload của JWT: không mật khẩu, không số thẻ, không dữ liệu cá nhân mà bạn không muốn viết lên một tấm bưu thiếp.

Nghĩa là token tự nhận mình không được ký, và đó là một trong những phát hiện nghiêm trọng nhất mà trang này báo. `alg: none` là một kiểu vượt qua xác thực đã được ghi nhận: kẻ tấn công lấy một token thật, sửa payload để nói họ là quản trị viên, đặt thuật toán thành “none”, bỏ chữ ký, và một thư viện tin vào header sẽ chấp nhận nó. Mọi thư viện JWT nghiêm túc hiện nay đều chặn điều này theo mặc định, nhưng những cách triển khai tin vào `alg` vẫn còn tồn tại. Một token đến với `alg: none` nên được coi là một cuộc tấn công cho đến khi chứng minh được điều ngược lại.

Việc đó đã được làm sẵn cho bạn. `exp`, `iat` và `nbf` là dấu thời gian Unix — số giây tính từ năm 1970 — nên không thể đọc được khi ở dạng số thô. Mỗi giá trị được hiển thị thành ngày giờ thực theo múi giờ của bạn, kèm cách đây bao lâu hoặc còn bao lâu nữa, và token đã hết hạn được nói rõ ràng thay vì để bạn tự tính. Token hoàn toàn không có `exp` cũng được đánh dấu: một JWT không bao giờ hết hạn thì không thể bị vô hiệu hóa nhờ hết hạn, và vẫn hợp lệ chừng nào khóa ký còn hợp lệ.

Vậy thì đó là JWE — được mã hóa chứ không chỉ được ký — và nội dung của nó thực sự không thể đọc được nếu không có khóa giải mã. Trang nhận ra hình dạng này và cho bạn biết thay vì hiển thị dữ liệu vô nghĩa. Năm phần nghĩa là payload là bản mã thực sự; không có gì để giải mã cả.

Các claim đã đăng ký gồm: `iss` bên phát hành, `sub` token nói về ai (thường là ID người dùng), `aud` token dành cho ai, `exp` thời điểm hết hạn, `nbf` chưa hợp lệ trước thời điểm này, `iat` thời điểm phát hành, và `jti` ID duy nhất của token. Mọi thứ khác là tùy chỉnh của bên xây dựng hệ thống. Mỗi claim đã đăng ký đều được ghi chú ý nghĩa trong kết quả, nên bạn không cần nhớ chữ viết tắt ba ký tự nào là gì.