В JWT кладут отдел, роль и почту сотрудника, считая, что токен зашифрован. Он не зашифрован
Конспект редакции
JWT не шифрует данные — разбор утечки, которая началась с токена, приложенного к тикету.
Разбор типичной ошибки: разработчик приложил к тикету свой JWT целиком, чтобы воспроизвести проблему с авторизацией. Ошибку починили, тикет закрыли — а токен остался в задаче, доступной всей команде и подрядчикам.
Ключевая мысль: JWT только выглядит как шифротекст, но это лишь подписанная и закодированная строка, которую легко декодировать. Если в токен кладут отдел, роль и почту сотрудника в расчёте на «шифрование», это заблуждение создаёт прямой канал утечки внутренних данных.
Практические выводы для команд и служб безопасности — на Habr.
Материал агрегирован; полный текст — на сайте Хабр — ИТ-новости.
Фото (4)
Увеличить1 / 4Похожие материалы
Vocci выпустила кольцо-диктофон за $249: новая форма записи встреч и новые вопросы к приватности
TechCrunch · 22м
Как DSP находит нужный баннер за 100 миллисекунд: разбор хайлоад-части RTB
Хабр — ИТ-новости · 30м
Алан Ричсон раскрыл, какой сезон «Ричера» отменили после того, как «кое-кого переизбрали»
Hollywood Reporter · 44м
Семейный шантаж в полуфинале «Большого куша»: сильный игрок покидает шоу после конфликта
Вокруг ТВ · 44м
Boy Meets World Cast: Where The Actors Are Now
TVLine · 53м
This '50s NBC Medical Drama Used Real Childbirth Footage In Its First Episode
TVLine · 1ч