JWT Vulnerabilities

Description

Les vulnérabilités JWT incluent : algorithme none accepté, confusion RS256/HS256 permettant de signer avec la clé publique, secret weak bruteforceable, injection dans le paramètre kid (Key ID), ou non-vérification de l'expiration permettant l'usurpation d'identité.

Exploitation

L'attaque alg:none supprime la signature en changeant l'algorithme à none. La confusion RS256/HS256 utilise la clé publique comme secret HMAC. Des outils comme jwt_tool ou hashcat permettent d'exploiter et bruteforcer ces failles.

Défense

• Valider explicitement l'algorithme côté serveur et rejeter l'algorithme none sans exception
• Utiliser des secrets JWT longs et aléatoires (256 bits minimum) stockés de manière sécurisée
• Vérifier systématiquement exp, iat et les claims métier à chaque validation de token