JSON Web Token (JWT) 的密钥混淆攻击（Key Confusion Attack）详解

描述
JWT（JSON Web Token）是一种广泛用于身份验证和授权的开放标准（RFC 7519），它由头部（Header）、载荷（Payload）和签名（Signature）三部分组成。签名用于验证令牌的完整性和来源，通常使用非对称算法（如RS256）或对称算法（如HS256）生成。密钥混淆攻击（也称为算法混淆攻击）是一种攻击手法，攻击者通过篡改JWT头部中的签名算法声明，诱使服务器使用非预期的密钥验证签名，从而伪造有效的JWT令牌。这类攻击常发生在服务器端错误配置JWT验证逻辑时。

解题过程循序渐进讲解
我们以一个典型场景为例：服务器本应使用非对称算法（如RS256）验证JWT，但由于实现缺陷，被攻击者诱骗使用对称算法（如HS256）进行验证，导致攻击者能伪造令牌。

步骤1：理解JWT的结构与签名验证原理

1. JWT结构：格式为Base64Url(Header).Base64Url(Payload).Signature。
   • 头部（Header）：声明令牌类型和签名算法，如{"alg":"RS256","typ":"JWT"}。
   • 载荷（Payload）：包含声明（例如用户ID、权限），如{"sub":"user123","admin":true}。
   • 签名（Signature）：根据头部指定的算法和密钥，对Base64Url(Header).Base64Url(Payload)计算签名，确保令牌未被篡改。
2. 签名算法差异：
   • RS256（非对称算法）：使用私钥签名，公钥验证。服务器通常持有公钥。
   • HS256（对称算法）：使用同一密钥进行签名和验证。
3. 服务器正常验证流程：服务器从JWT头部读取alg字段，选择对应算法和密钥（如RS256对应公钥）验证签名。

步骤2：识别密钥混淆攻击的核心漏洞
攻击前提是服务器端存在以下错误逻辑：

• 服务器配置为接受多种算法（如RS256和HS256），但未严格绑定算法与密钥类型。
• 服务器在验证签名时，未检查头部声明的算法是否与预期算法一致，而是直接使用预设密钥（如公钥）进行验证。
  此时，若攻击者将头部改为{"alg":"HS256","typ":"JWT"}，服务器可能误用对称算法流程，将公钥作为HS256的密钥去验证签名。

步骤3：攻击的构造过程
假设攻击者已知服务器公钥（通常可从证书中获取），目标是伪造一个管理员权限的JWT：

1. 获取公钥：例如从https://example.com/cert.pem下载服务器的公钥（PEM格式）。
2. 修改头部：将alg从RS256改为HS256。
3. 篡改载荷：修改Payload中的声明，如将{"sub":"user123","admin":false}改为{"sub":"attacker","admin":true}。
4. 生成签名：
   • 使用对称算法HS256，将公钥作为密钥（注意公钥需转换为字节格式）。
   • 计算Base64Url(Header).Base64Url(Payload)的HMAC-SHA256签名，得到伪造的Signature。
5. 组合JWT：将伪造的头部、载荷和签名用.连接，形成恶意JWT令牌。

步骤4：服务器端的错误验证过程

1. 服务器收到恶意JWT，从头部读取alg:"HS256"。
2. 由于验证代码未限制算法，服务器调用HS256验证模块，并使用预配置的“密钥”（实际是公钥）验证签名。
3. 服务器计算Base64Url(Header).Base64Url(Payload)的HMAC-SHA256值，与JWT中的签名比对。因为签名正是用公钥生成的，验证通过。
4. 服务器误认为令牌合法，授予攻击者管理员权限。

步骤5：防御措施

1. 严格指定算法：在验证JWT时，强制校验头部alg字段是否为预期值（如只允许RS256），忽略用户提供的算法声明。
   • 示例代码（Python PyJWT库）：

     import jwt
     decoded = jwt.decode(token, public_key, algorithms=['RS256'])  # 只允许RS256
     

2. 密钥分离管理：为非对称和对称算法使用不同的密钥配置，避免密钥混用。
3. 使用密钥ID（kid）：在JWT头部添加kid字段，明确指定验证所用的密钥，但需防止kid注入攻击（如目录遍历）。
4. 定期更新密钥：定期轮换密钥，减少密钥泄露的影响。
5. 依赖库更新：使用最新版本的JWT库（如java-jwt、pyjwt），这些库通常默认要求显式指定算法。

总结
密钥混淆攻击利用了服务器对JWT算法验证的松懈，通过算法降级（从非对称到对称）和密钥误用，实现令牌伪造。防御核心在于强制校验算法和分离密钥管理，确保验证逻辑与预期安全配置一致。