Vulnerabilidades em JWT
O que é Vulnerabilidades em JWT?
Vulnerabilidades em JWTClasses de falhas de implementacao na validacao de JSON Web Tokens que permitem forjar tokens, escalar privilegios ou contornar a autenticacao.
Os JSON Web Tokens sao amplamente usados em autenticacao e autorizacao de APIs, mas as suas opcoes flexiveis de assinatura produziram varias classes recorrentes de bugs. O classico alg=none surge quando o verificador aceita um token sem assinatura. Segredos HS256 fracos podem ser quebrados offline, permitindo emitir tokens arbitrarios. A confusao de chaves ocorre quando um servidor valida um token HS256 usando uma chave publica RSA como segredo HMAC. Outros problemas: falta de verificacao de assinatura, aceitar tokens expirados, injecao no header kid (path traversal, SQLi) e ataques jwk/jku embutidos. Mitigacoes: fixar o algoritmo no servidor, usar chaves assimetricas fortes, validar kid contra uma allowlist e tratar JWT como entrada nao confiavel.
● Exemplos
- 01
Header {"alg":"none"} aceite por uma biblioteca mal configurada.
- 02
O servidor valida um token RS256 usando a sua chave publica como segredo HMAC HS256.
● Perguntas frequentes
O que é Vulnerabilidades em JWT?
Classes de falhas de implementacao na validacao de JSON Web Tokens que permitem forjar tokens, escalar privilegios ou contornar a autenticacao. Pertence à categoria Segurança de aplicações da cibersegurança.
O que significa Vulnerabilidades em JWT?
Classes de falhas de implementacao na validacao de JSON Web Tokens que permitem forjar tokens, escalar privilegios ou contornar a autenticacao.
Como funciona Vulnerabilidades em JWT?
Os JSON Web Tokens sao amplamente usados em autenticacao e autorizacao de APIs, mas as suas opcoes flexiveis de assinatura produziram varias classes recorrentes de bugs. O classico alg=none surge quando o verificador aceita um token sem assinatura. Segredos HS256 fracos podem ser quebrados offline, permitindo emitir tokens arbitrarios. A confusao de chaves ocorre quando um servidor valida um token HS256 usando uma chave publica RSA como segredo HMAC. Outros problemas: falta de verificacao de assinatura, aceitar tokens expirados, injecao no header kid (path traversal, SQLi) e ataques jwk/jku embutidos. Mitigacoes: fixar o algoritmo no servidor, usar chaves assimetricas fortes, validar kid contra uma allowlist e tratar JWT como entrada nao confiavel.
Como se defender contra Vulnerabilidades em JWT?
As defesas contra Vulnerabilidades em JWT costumam combinar controles técnicos e práticas operacionais, conforme detalhado na definição acima.
● Termos relacionados
- identity-access№ 574
JWT (JSON Web Token)
Formato de token compacto e seguro para URL (RFC 7519) que transporta claims JSON assinadas; usado como access token, ID token e contentor de sessao.
- identity-access№ 088
Bearer Token (token ao portador)
Credencial opaca ou estruturada (RFC 6750) que concede acesso a um recurso apenas por posse, sem prova de que o portador e o legitimo dono.
- identity-access№ 007
Access Token
Credencial de curta duracao emitida por um servidor de autorizacao que o cliente apresenta a uma API para aceder a recursos protegidos em nome do utilizador ou servico.
- appsec№ 052
Segurança de API
Disciplina de projetar, construir e operar APIs para que autenticação, autorização, exposição de dados e resistência a abusos se mantenham sob ataque.
- identity-access№ 076
Autenticação
Processo de verificar que uma entidade — utilizador, dispositivo ou serviço — é realmente quem afirma ser antes de conceder acesso.
- compliance№ 781
OWASP Top 10
Documento de sensibilização da OWASP que enumera os riscos de segurança mais críticos para aplicações web, atualizado periodicamente com base em dados reais de vulnerabilidades.