Ispričaj o JWT tokenu: šta se može učiniti sa presretnutim tokenom — čitati, menjati, ponovo koristiti?

JWT (JSON Web Token) состоит из трёх частей: заголовка, полезной нагрузки (payload) и подписи.

• Прочитать: Перехваченный JWT можно легко прочитать, так как его части закодированы в Base64URL, а не зашифрованы. Любой может декодировать payload и увидеть данные, например, userId, роли и т.п.

• Изменить: Изменить содержимое токена без знания секретного ключа подписи нельзя, так как подпись не совпадёт, и сервер отклонит такой токен. Если же ключ подписи скомпрометирован, тогда можно подделывать токены.

• Использовать повторно: Перехваченный валидный токен можно использовать повторно до истечения срока его действия (exp). Это называется атакой повторного воспроизведения (replay attack). Чтобы минимизировать риск, применяют короткий срок жизни токена и механизмы обновления (refresh tokens).

Таким образом, с перехваченным JWT можно прочитать данные и использовать токен повторно, но изменить его без ключа нельзя.