JWT Decoder (Token Çözücü)

Çözmek doğrulamak değildir

Bir JWT üç parçadan oluşur ve bu parçaların ilk ikisi şifrelenmiş değildir, yalnızca kodlanmıştır. Yani token'ı elinde tutan herkes içeriğini okuyabilir. Bu aracın (ya da başka bir çözücünün) size gösterdiği şey, "bu token doğrudur" bilgisi değil, "bu token'ın içinde şunlar yazıyor" bilgisidir. Aradaki fark, bir güvenlik açığı ile düzgün bir kimlik doğrulama akışı arasındaki farktır.

İmzayı doğrulamak, token'ı üreten tarafın gizli anahtarını ya da açık anahtarını gerektirir. Bu iş sunucu tarafında, o anahtarın zaten bulunduğu yerde yapılır. Bu yüzden araçta bilinçli olarak bir "secret" giriş alanı yoktur: kullanıcılara imzalama anahtarlarını rastgele bir web sayfasına yapıştırmayı öğretmek, çözdüğü sorundan büyük bir sorun yaratır. Anahtarınız bir kere dışarı çıktığında, o anahtarla üretilebilecek her token artık taklit edilebilir demektir.

base64url ile base64 arasındaki fark

JWT segmentleri standart Base64 ile değil, RFC 4648'in URL güvenli varyantıyla kodlanır. İki fark vardır: + yerine -, / yerine _ kullanılır ve sondaki = dolgu karakterleri atılır. Sebep basit, token'lar URL'lerde, sorgu parametrelerinde ve HTTP başlıklarında taşınır; standart alfabenin karakterleri buralarda yeniden kodlanmak zorunda kalır.

1const payload = token.split('.')[1];2 3// Yanlış: alfabe farklı, dolgu yok4atob(payload);5// InvalidCharacterError ya da sessizce bozuk çıktı6 7// Doğru: önce alfabeyi normalize et, sonra dolguyu tamamla8const normalized = payload.replace(/-/g, '+').replace(/_/g, '/');9const padded = normalized.padEnd(10  normalized.length + ((4 - (normalized.length % 4)) % 4),11  '='12);13const binary = atob(padded);

Uzunluğun 4'e bölümünden kalan 1 ise girdi hiçbir zaman geçerli Base64 olamaz, çünkü hiçbir kodlayıcı böyle bir çıktı üretmez. Bu durumda genellikle token kopyalanırken kırpılmıştır. Araç bu vakayı ayrı bir mesajla bildirir, çünkü atob'un kendi hatası ne olduğunu anlatmaz.

Türkçe karakterler ve atob tuzağı

Yukarıdaki kod parçasındaki binary değişkeni bir metin değil, bir ikili dizedir: her karakteri bir bayta karşılık gelir. Payload saf ASCII ise fark etmezsiniz. İçinde Türkçe bir isim geçtiği anda ise sonuç bozulur, çünkü UTF-8'de ü ve ş gibi karakterler iki bayt kaplar ve ikili dize bu iki baytı iki ayrı karakter gibi gösterir.

1// atob çıktısı doğrudan metin sanılırsa2atob('eyJhZCI6IkvDvHLFn2FkIn0');3// '{"ad":"KürÅŸad"}'   <-- mojibake4 5// Baytları açıkça UTF-8 olarak çözmek gerekir6const bytes = Uint8Array.from(atob(padded), c => c.charCodeAt(0));7new TextDecoder('utf-8').decode(bytes);8// '{"ad":"Kürşad"}'

Bu, Türkçe bir sistemde neredeyse her token'da karşınıza çıkar: kullanıcı adı, şehir, rol etiketi ya da özel bir claim içindeki herhangi bir Türkçe metin yeterlidir. Bu araç her segmenti TextDecoder ile çözer, dolayısıyla claim değerleri olduğu gibi görünür. Aynı hata JSON.parse aşamasına da taşınır: bozuk baytlar geçerli JSON üretebildiği için hata alınmaz, sadece yanlış veri görürsünüz.

Zaman claim'leri ve saat kayması

RFC 7519, exp, iat ve nbf claim'lerini NumericDate olarak tanımlar: 1 Ocak 1970'ten bu yana geçen saniye sayısı. JavaScript'in Date nesnesi ise milisaniye bekler. Değeri doğrudan geçirirseniz 1970 yılının ilk günlerinde bir tarih elde edersiniz ve bu, JWT araçlarının klasik hatasıdır.

Bir noktayı da açıkça belirtmek gerekir: bu sayfada gördüğünüz "süresi dolmuş" kararı, sizin cihazınızın saatine göre verilir. Saati kaymış bir dizüstü bilgisayarda, gayet geçerli bir token süresi dolmuş görünebilir ya da tam tersi olabilir. Sunucular bu yüzden genelde birkaç dakikalık bir tolerans payı uygular. Beklenmedik bir sonuç aldığınızda önce sistem saatinizi kontrol edin.

JWS, JWE ve alg none

Nokta ile ayrılmış üç segment gördüğünüzde elinizde bir JWS vardır: başlık, yük ve imza. Beş segment gördüğünüzde ise bu bir JWE'dir ve segmentler başlık, şifrelenmiş anahtar, IV, şifreli metin ve doğrulama etiketidir. JWE'de yük gerçekten şifrelidir; alıcının çözme anahtarı olmadan hiçbir araç içeriğini gösteremez. Araç bu durumda yalnızca başlığı çözer ve sebebini açıkça söyler, anlamsız baytları ekrana basmaz.

Başlıkta alg değeri none ise, token imzasızdır. Spesifikasyonda yeri vardır ancak pratikte bu, herkesin istediği claim ile token üretebileceği anlamına gelir. Doğrulama katmanınız kabul edilecek algoritmaları açık bir listeyle sınırlamıyorsa, saldırgan imzayı silip alg değerini none yaparak kimlik doğrulamayı tamamen atlayabilir. Araç böyle bir token gördüğünde uyarı üretir.