Выбор ответа Junior Криптография на практике и JWT спрашивают часто обновлено
JWT с alg none
Вопрос
Чем опасен приём JWT с заголовком {"alg": "none"}?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: У такого токена нет подписи: в payload запишут что угодно, например роль админа. Алгоритм none в стандарте предназначен для случаев, когда целостность обеспечена иначе.
Варианты ответа
- У такого токена нет подписи: в payload запишут что угодно, например роль админаправильный ответ
- Ничем: none означает алгоритм по умолчанию HS256 с ключом из конфигурации
- Токен не будет иметь срока жизни, и его придётся отзывать вручную через blacklist
- Payload такого токена передаётся без base64, и его перехватят в логах прокси
Разбор
Алгоритм none в стандарте предназначен для случаев, когда целостность обеспечена иначе. Сервер, который его принимает, доверяет любым данным. Библиотеки должны принимать только явный список алгоритмов. none не значит HS256 и к сроку жизни отношения не имеет.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.