Oturum açtıktan sonra sunucu, sonraki her isteğin gerçekten sizden geldiğini nasıl biliyor? Popüler yanıtlardan biri, genellikle “jot” olarak telaffuz edilen JSON Web Simgesi veya JWT’dir. Bu, istemcinin her istekle birlikte gönderdiği küçük, imzalı bir veri parçasıdır ve sunucu, veri tabanına dokunmadan bunu kontrol edebilir.

Bir JWT’yi anlamanın en hızlı yolu bir tane oluşturmak ve sonra onu kırmaya çalışmaktır. Bunu Python 3.13’te yalnızca Python’un standart kütüphanesini kullanarak yaptık ve aşağıdaki çıktı bu çalıştırmadan geliyor. Bu kod öğrenme amaçlıdır. Gerçek bir uygulamada bakımlı bir kitaplık kullanın çünkü doğrulama ayrıntılarının yanlış anlaşılması kolaydır.

JWT nedir?

JWT, iddiaların iki taraf arasında kompakt bir dize olarak iletilmesine yönelik RFC 7519’da tanımlanan açık bir standarttır. Bir iddia, “bu kullanıcının kimliği 42” gibi basit bir ifadedir. Token imzalandığı için alıcı onu kimin verdiğini ve kimsenin onu değiştirmediğini doğrulayabilir.

Bir festival bilekliği düşünün. Kapıdaki görevliler biletinizi bir kere kontrol edip size sahtesi zor bir bant veriyor. Bundan sonra, bilet gişesini aramanıza gerek kalmadan her kabin sadece gruba bakıyor. Bir JWT, bir API için hemen hemen aynı şekilde çalışır.

JWT girişi nasıl çalışır?

1. Kullanıcı, giriş uç noktasına bir kullanıcı adı ve şifre gönderir.
2. Sunucu bunları kontrol eder ve imzalı bir jeton oluşturur.
3. İstemci jetonu saklar.
4. Daha sonraki her istek, genellikle bir başlıkta bunu içerir: Authorization: Bearer <token>.
5. Sunucu imzayı ve geçerlilik süresini doğrular, ardından talepleri okur.

Asıl fayda 5. adımdadır. Sunucunun bir oturumu aramasına gerek yoktur; bu, birçok hizmet veya sunucunun aynı jetonu kontrol etmesi gerektiğinde kullanışlıdır. API’ler konusunda yeniyseniz, API nedir ile başlayın.

JWT’nin üç bölümü

JWT rastgele bir metne benzer, ancak noktalarla ayrılmış üç Base64URL kodlu bölümden oluşur. İşte oluşturduğumuz bir tanesi:

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9
.eyJzdWIiOiI0MiIsInJvbGUiOiJ1c2VyIiwiaWF0IjoxNzkzNTAwMDAwLCJleHAiOjE3OTM1MDA5MDB9
.7YfUDH_T-iDh8bMmUT8mmKYwOstzT8Ty--DTTAmQGWM

Okumayı kolaylaştırmak için satır sonları ekledik. İlk iki bölümün kodunun çözülmesi düz JSON’u verir:

Header:  {"alg":"HS256","typ":"JWT"}
Payload: {"sub":"42","role":"user","iat":1793500000,"exp":1793500900}

Standart iddialar

Ayrıca role gibi özel talepler de ekleyebilirsiniz. Zamanlar, saniye cinsinden Unix zaman damgalarıdır. Belirteç her istekle birlikte hareket ettiğinden yükü küçük tutun.

Kendiniz bir tane oluşturun

Belirteç oluşturmak, iki JSON bölümünün kodlanmasını ve ardından bunların HMAC-SHA256 kullanılarak bir sır ile imzalanmasını içerir:

import base64, hashlib, hmac, json

SECRET = b"demo-secret-do-not-use-in-production"

def b64url(data):
    return base64.urlsafe_b64encode(data).rstrip(b"=").decode()

def sign(message):
    return b64url(hmac.new(SECRET, message.encode(), hashlib.sha256).digest())

def create_token(payload):
    header = {"alg": "HS256", "typ": "JWT"}
    parts = [
        b64url(json.dumps(header, separators=(",", ":")).encode()),
        b64url(json.dumps(payload, separators=(",", ":")).encode()),
    ]
    message = ".".join(parts)
    return message + "." + sign(message)

Doğrulama, imzayı yeniden hesaplayarak ve onu jetondakiyle karşılaştırarak çalışır. Yalnızca sırrı bilen biri eşleşen bir sır ortaya çıkarabilir:

def verify_token(token, now):
    header, payload, signature = token.split(".")
    expected = sign(header + "." + payload)
    if not hmac.compare_digest(signature, expected):
        raise ValueError("bad signature")
    claims = json.loads(b64url_decode(payload))
    if claims["exp"] < now:
        raise ValueError("token expired")
    return claims

Geçerli bir token, taleplerini beklendiği gibi geri getirdi. compare_digest sabit zamanda çalıştığı için kullanılır, bu da zamanlama farklılıkları nedeniyle bilgi sızıntısını önler.

Onu karıştırmayı dene

Bir saldırganın veri kodunu çözdüğünü, "role":"user"‘i "role":"admin" olarak değiştirdiğini, tekrar kodladığını ve eski imzayı koruduğunu varsayalım. Bunu diğer iki saldırıyla birlikte denedik:

Bu son girişim gerçek bir tarihi zayıflığı hedef alıyor. Bazı kütüphaneler bir zamanlar belirtecin kendi başlığına güveniyordu, böylece bir saldırgan imzaya gerek olmadığını kolayca bildirebiliyordu. Kodumuz her zaman tek bir sabit algoritma kullanır, bu yüzden reddedildi. Gerçek bir kütüphanede her zaman kabul ettiğiniz algoritmaları belirtin.

İmzalanmış, şifrelenmemiş

JWT’ler hakkında en yanlış anlaşılan nokta budur. Sahte jetonumuz reddedildi ancak içeriği hala mükemmel bir şekilde okunabiliyordu:

{"sub":"42","role":"admin","iat":1793500000,"exp":1793500900}

Base64URL bir şifrelemedir, şifreleme değildir ve herkes bunu hiçbir anahtara ihtiyaç duymadan tersine çevirebilir. İmza, kişilerin verileri değiştirmesini engeller ancak verileri okumasını engellemez. Bu nedenle hiçbir zaman şifreleri, kart numaralarını veya özel kişisel verileri JWT verisine koymayın. İçeriğin gizlenmesi gerekiyorsa şifrelenmiş belirteçler (JWE) kullanın veya verileri yalnızca sunucuda tutun.

HS256 ve RS256

Asimetrik imzalamayla, diğer hizmetler kendi tokenlarını basamadan tokenleri doğrulayabilir, bu da bir tanesinin tehlikeye atılması durumunda hasarı sınırlar.

JWT ve oturumlar

JWT’ler genellikle oturumların modern bir alternatifi olarak sunulur. Gerçekte her birinin değiş tokuşları vardır:

Sunucu tarafından oluşturulan geleneksel bir web sitesi için oturum çerezi genellikle daha basit ve daha güvenlidir. JWT’ler, çeşitli hizmetler tarafından tüketilen API’ler veya mobil istemciler için daha anlamlı olma eğilimindedir.

Jetonların tarayıcıda nerede saklanacağı

Birçok güvenlik kılavuzu, web uygulamaları için HttpOnly, Secure, SameSite çerezlerini tercih eder. Hangisini seçerseniz seçin, her zaman HTTPS kullanın. JavaScript’ten jeton göndermek için JavaScript Fetch API eğitimimize bakın.

Belirteçleri yenile

Sürenin kısa olması, çalınan tokenın vereceği zararı sınırlar ancak kimse 15 dakikada bir giriş yapmak istemez. Her zamanki çözüm iki jeton kullanır:

• Erişim belirteci: dakika gibi kısa ömürlüdür ve her API isteğiyle birlikte gönderilir.
• Yenileme jetonu: daha uzun ömürlüdür, daha dikkatli bir şekilde saklanır ve yalnızca yeni erişim jetonları elde etmek için kullanılır.

Sunucu, yenileme belirteçlerini takip eder, böylece bunları iptal edebilir, bu da size pratik bir oturum kapatma olanağı sağlar. Bunları her kullanımda döndürmek aynı zamanda hırsızlığı tespit etmenize de yardımcı olur çünkü çalınan eski bir jeton tekrar çalınır.

Yaygın güvenlik hataları

• Doğrulamadan kod çözme. Bir veriyi okumak onu güvenilir yapmaz. Her zaman imzayı kontrol edin.
• Herhangi bir algoritmayı kabul etme. İzin verilen algoritmaların açık bir listesini ayarlayın.
• Zayıf bir sır kullanma. Kısa sırlar çevrimdışı olarak kırılabilir. Uzun bir rastgele değer kullanın ve onu kaynak kontrolünün dışında tutun.
• Son kullanma tarihi atlanıyor. exp numarası olmayan jetonlar çalınırsa sonsuza kadar çalışabilir.
• iss ve aud işaretlenmiyor. Aksi takdirde, bir hizmet için verilen jeton başka bir hizmet tarafından kabul edilebilir.
• Eski taleplere güvenme. Bir jetonun içindeki bir rol, süresi dolana kadar güncelliğini yitirebilir.
• Günlüğe kaydetme jetonları. Günlüklerinizi okuyan herkes bunları yeniden kullanabilir.
• Hata yolları test edilmiyor. Geçerli olanların yanı sıra süresi dolmuş ve değiştirilmiş jetonlar için testler ekleyin. Postacı ile API testi kılavuzumuz yardımcı olabilir.

Son sözler

JWT, bir sunucunun arama yapmadan güvenebileceği imzalı verilerdir; gizli bir kapsayıcı değildir ve oturumlar boyunca otomatik yükseltme yapılmaz. Kısa süre sonu kullanın, bakımı yapılan bir kitaplıkla her şeyi doğrulayın ve özel verileri veri yükünün dışında tutun. Bunu kendiniz görmek için bizimki gibi küçük bir komut dosyası çalıştırın, bir belirtecin bir karakterini değiştirin ve doğrulamanın başarısız olduğunu izleyin.

Sık sorulan sorular

Öğrenmeye devam et