JWT-Sicherheitsfehler und wie man sie vermeidet

JWT ist für die API-Authentifizierung leistungsstark, aber viele Produktionsvorfälle sind auf Implementierungsfehler zurückzuführen, nicht auf JWT selbst. Wenn Ihre App Zugriffstoken, Aktualisierungstoken und Rollenansprüche verwendet, hängt Ihre Sicherheit von den Details ab.

1) Akzeptieren eines beliebigen Algorithmus

Vertrauen Sie niemals dem Algorithmus, der allein vom Token-Header gesendet wird. Ihr Server muss eine explizite Zulassungsliste erzwingen (z. B. nur RS256).

• Erwartete Algorithmen serverseitig anheften.
• Tokens mit fehlendem oder unerwartetem alg.
ablehnen
• Verwenden Sie ausgereifte, aktiv gepflegte JWT-Bibliotheken.

2) Langlebige Zugriffstoken

Wenn ein Zugriffstoken durchsickert und tagelang gültig bleibt, hat ein Angreifer zu viel Zeit. Halten Sie Zugriffstokens kurzlebig und verlassen Sie sich auf den Aktualisierungsfluss.

• Zugriffstoken: kurze TTL (5–15 Minuten).
• Token aktualisieren: längere TTL + Rotation + Widerruf.
• Sitzungen aufgrund verdächtiger Aktivitäten ungültig machen.

3) Durchsickern von Tokens in URLs und Protokollen

Fügen Sie niemals JWTs in Abfrageparameter ein. URLs landen in Protokollen, Analysen, Browserverlauf und Referrern.

• Senden Sie Token im Autorisierung: Inhaber ... Header.
• Scrub-Authentifizierungsheader aus Protokollen und APM-Traces.
• Maskieren Sie sensible Felder in der Client-Fehlerberichterstattung.

4) Schwache Anspruchsvalidierung

Validate iss, aud, exp, nbf und iat. Überprüfen Sie auch geschäftliche Einschränkungen wie die Mandanten-ID und die erforderlichen Rollen.

• Abgelaufene oder noch nicht gültige Token ablehnen.
• Erwartete Zielgruppe pro Dienst binden.
• Rollenansprüchen nicht ohne serverseitige Prüfungen vertrauen.

5) Keine Schlüsselrotationsstrategie

Schlüssellecks, Zertifikate laufen ab und es kommt zu Vorfällen. Planen Sie die Rotation vor Produktionsstart.

• Verwenden Sie kid Header und JWKS-Endpunkte.
• Unterstützt überlappende Schlüssel während Rotationsfenstern.
• Überwachen Sie Signaturvalidierungsfehler auf Anomalien.

Praktische Härtung-Checkliste

1. Strikte Zulassungsliste für Algorithmen erzwingen.
2. Verwenden Sie kurzlebige Zugriffstoken.
3. Aktualisierungstoken rotieren und Widerruf unterstützen.
4. Speichern Sie Token sicher (bevorzugen Sie httpOnly Cookies).
5. Validieren Sie alle Standard- und geschäftskritischen Ansprüche.
6. Schlüsselrotation mit Überwachung implementieren.

Verwandte Tools

• JWT Decoder – Header und Nutzlast sicher prüfen.
• Hash Generator – Überprüfung der Fingerabdrücke von Nachrichten und Dateien.
• Passwortgenerator – Erstellen Sie starke Geheimnisse für Administrator- und Dienstkonten.