JSON Web Token (JWT) 安全详解

题目描述
JSON Web Token (JWT) 是一种开放标准（RFC 7519），用于在各方之间安全地传输信息作为 JSON 对象。它常用于身份验证和授权场景，例如用户登录后，服务器生成一个 JWT 返回给客户端，客户端在后续请求中携带该 Token 以访问受保护资源。然而，JWT 的设计和实现若存在缺陷，可能导致身份伪造、数据篡改等安全风险。本题将详细讲解 JWT 的结构、工作原理、常见攻击手法及防御措施。

解题过程（循序渐进讲解）

步骤1：理解 JWT 的基本结构
JWT 由三部分组成，以点（.）分隔：

• Header（头部）：包含令牌类型（如 "JWT"）和签名算法（如 HS256、RS256）。
  示例：{"alg": "HS256", "typ": "JWT"} → Base64Url 编码后形成第一部分。
• Payload（载荷）：存放实际传输的数据（例如用户 ID、权限），包含标准声明（如 exp 过期时间）和自定义声明。
  示例：{"sub": "123", "name": "Alice", "exp": 1516239022} → Base64Url 编码后形成第二部分。
• Signature（签名）：用于验证令牌完整性。签名通过以下方式生成：
  HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload), secret_key)。

完整 JWT 格式：Header.Payload.Signature。
关键点：签名依赖密钥（对称加密）或私钥（非对称加密），若算法或密钥处理不当，会引入漏洞。

步骤2：分析 JWT 的安全依赖机制
JWT 的安全性基于以下前提：

1. 签名验证：服务端必须使用正确的密钥验证签名，确保数据未被篡改。
2. 算法一致性：服务端应严格检查 Header 中声明的算法（alg），防止攻击者恶意修改算法。
3. 载荷验证：服务端需校验载荷中的声明（如 exp 过期时间），避免使用过期或无效令牌。
   若任一环节失效，攻击者可能伪造合法令牌。

步骤3：常见攻击手法与漏洞利用

1. 算法混淆攻击（Algorithm Confusion）：

   • 原理：当服务端配置为接受多种算法（如 HS256 和 RS256）时，攻击者可能将算法改为 HS256（对称加密），并使用公开的 RSA 公钥作为密钥伪造签名。因为服务端可能误用公钥进行 HS256 验证。
   • 利用过程：
     • 修改 Header 为 {"alg": "HS256", "typ": "JWT"}。
     • 篡改 Payload（如提升权限）。
     • 使用服务端的 RSA 公钥作为 HS256 的密钥生成签名。
     • 发送伪造的 JWT 至服务端，若服务端未校验算法与密钥的匹配性，会验证通过。

2. 签名绕过（None Algorithm）：

   • 原理：早期某些库支持 alg: "none" 表示无签名。攻击者可修改算法为 none，删除签名部分（保留末尾点），欺骗服务端跳过验证。
   • 防御：现代库已废弃此功能，但需确保服务端明确拒绝 none 算法。

3. 密钥泄露与暴力破解：

   • 弱密钥（如常见字符串）可通过工具（如 hashcat）暴力破解。
   • 若服务端密钥通过硬编码或日志泄露，攻击者可直接生成任意签名。

4. 载荷注入与逻辑漏洞：

   • 修改 exp 过期时间或 sub（用户标识）等字段，若服务端未校验数据完整性或业务逻辑，可能导致越权访问。

步骤4：防御措施与最佳实践

1. 严格校验算法：

   • 代码中强制指定预期算法（如只允许 RS256），避免动态根据 Header 选择算法。
   • 示例（Node.js 库 jsonwebtoken）：

     jwt.verify(token, publicKey, { algorithms: ['RS256'] }); // 明确指定算法列表
     

2. 密钥管理：

   • 使用强随机密钥，定期轮换。
   • 非对称加密（RS256）优于对称加密（HS256），因为私钥仅服务端持有，公钥可安全分发。

3. 全面验证声明：

   • 校验 exp、nbf（生效时间）、iss（签发者）等标准声明。
   • 避免依赖客户端提供的 Payload 数据直接进行业务操作。

4. 安全依赖库更新：

   • 使用最新版本的 JWT 库（如 java-jwt、pyjwt），避免已知漏洞。

5. 日志与监控：

   • 记录 JWT 验证失败事件，监测异常算法或频繁暴力破解行为。

总结
JWT 的安全核心在于签名验证和算法一致性。攻击者常利用服务端配置缺陷（如算法混淆、弱密钥）或逻辑漏洞进行绕过。防御需结合严格算法限制、密钥管理和声明校验，确保令牌的不可篡改性。