Suche
Im Blog suchen.
JWTs debuggen ohne Secrets zu leaken
Wie man JWT-Probleme in Logs, Tickets, CLI-Tools, Screenshots und Incident-Kanälen untersucht, ohne Bearer Tokens zu verbreiten.
Signing-Key-Management für JWTs
Operative Hinweise für JWT-Signing-Keys: Erzeugung, Speicherung, KMS, Rotation, Zugriffskontrolle, Audit und Notfallreaktion.
Ein praktischer JWT-Pentest-Workflow
Eine erprobte Abfolge zum Testen von JWT-Implementierungen: Sammlung, Decoding, Claims, Schlüssel, Replay und Reporting.
Replay-resistente JWT-Sessions
Designnotizen zur Begrenzung von Replay bei geleakten Bearer Tokens, inklusive jti, Session-State, Gerätesignalen und Rotation.
JWT-Claims und Autorisierungsgrenzen
Wie man entscheidet, welchen Claims man vertraut, welche erneut geprüft werden müssen und wo JWT-Autorität enden sollte.
Die Realität von Token-Speicherung im Browser
Ein praktischer Blick auf JWT-Speicherung im Browser, XSS, CSRF, Cookies, localStorage, Service Worker und Threat Models.
JWT-Expiration und Clock Skew
Wie exp, nbf, iat, Toleranzfenster, Retries und regionale Uhren echte Validierungsentscheidungen beeinflussen.
JWKS-Cache und Rotationsfehler
Die unsauberen Randfälle hinter JWKS-Caching, Schlüsselrotation, veralteten kid-Werten und robustem Verifier-Design.
HS256- und RS256-Confusion-Angriffe
Wie Algorithmusverwechslung entsteht, wenn Verifier symmetrische und asymmetrische Annahmen mischen.
Produktionslektionen zu alg none
Warum der alte alg-none-Fehler weiter relevant ist, wie er in modernen Diensten auftaucht und wie man ihn sauber testet.