Die 3 wichtigsten Best Practices für den sicheren Umgang mit JWTs

Play Video: Top 3 JWT Security Best Practices for Your Apps

In der modernen Webentwicklung sind JSON Web Tokens (JWTs) zu einer beliebten Methode geworden, um Informationen sicher zwischen Parteien zu übertragen. JWTs dienen der Authentifizierung und Autorisierung und werden häufig zum Speichern von Benutzerinformationen verwendet. Mit der zunehmenden Nutzung von JWTs gehen jedoch potenzielle Sicherheitsrisiken einher, die Entwickler kennen sollten.

Als Entwickler sind Sie dafür verantwortlich, die Sicherheit Ihrer Anwendung und den Schutz der Benutzerdaten zu gewährleisten. In diesem Blogbeitrag stellen wir die drei wichtigsten Best Practices für den sicheren Umgang mit JWTs vor. Außerdem zeigen wir praktische Beispiele mit Python und erklären, wie Snyk Ihnen dabei hilft, Sicherheitslücken in Ihrer Anwendung zu erkennen und zu beheben.

Am Ende dieses Blogbeitrags wissen Sie besser, wie Sie JWTs sicher in Ihren Anwendungen verwenden und warum Tools wie Snyk wichtig sind, um die Sicherheit Ihres Codes zu gewährleisten. Los geht's!

Best Practice Nr. 1: JWTs geheim halten

JWTs werden in modernen Webanwendungen häufig zur Authentifizierung und Autorisierung verwendet. Bei unsachgemäßem Umgang können sie jedoch ein erhebliches Sicherheitsrisiko für Ihre Anwendung darstellen. In diesem Abschnitt erläutern wir, warum JWTs geheim bleiben sollten und wie Sie das erreichen.

Warum es wichtig ist, JWTs geheim zu halten

JWTs sind im Wesentlichen signierte JSON-Objekte mit Informationen über einen Benutzer. Dazu können sensible Daten wie Benutzer-IDs, Rollen und Berechtigungen gehören. Gelangt ein Angreifer in den Besitz eines JWTs, kann er damit den Benutzer imitieren und sich unbefugten Zugriff auf Ihre Anwendung verschaffen.

Deshalb ist es entscheidend, JWTs geheim zu halten und sicherzustellen, dass nur autorisierte Parteien darauf zugreifen können. Denken Sie bei der Geheimhaltung von JWTs an Session-Cookies in einer herkömmlichen Webanwendung: Kann ein Angreifer Ihre Cookies stehlen, kann er Sie leicht imitieren und großen Schaden anrichten!

So halten Sie JWTs geheim

Der erste Schritt, um JWTs geheim zu halten, besteht darin, sicherzustellen, dass sie sicher über das Netzwerk übertragen werden. Dazu können Sie HTTPS für die gesamte Kommunikation zwischen Client und Server verwenden.

Der zweite Schritt besteht darin, JWTs clientseitig sicher zu speichern. Eine Möglichkeit dafür ist, beim Senden von Cookies an den Client die Flags HttpOnly und Secure zu verwenden. Das Flag HttpOnly verhindert, dass clientseitige Skripte auf das Cookie zugreifen. Das Flag Secure stellt sicher, dass das Cookie nur über HTTPS übertragen wird.

Eine weitere Möglichkeit, JWTs sicher zu speichern, ist die Verwendung von Browser-Speichermechanismen wie sessionStorage oder localStorage. Damit lassen sich Daten im Browser speichern, auf die andere Domains nicht zugreifen können. Doch Vorsicht: Werden Ihre JWTs in sessionStorage oder localStorage gespeichert, sind sie für JavaScript-Code zugänglich. Prüfen Sie daher Ihre Website sorgfältig auf mögliche Cross-Site-Scripting-Angriffe (XSS), durch die Angreifer Ihre JWTs möglicherweise kompromittieren könnten.

Schließlich müssen JWTs unbedingt serverseitig korrekt validiert werden. Dazu gehören die Überprüfung der Signatur und der Inhalte des Tokens.

Praxisbeispiel: So findet Snyk Sicherheitsprobleme beim Geheimhalten von JWTs

Snyk ist ein Sicherheitstool für Entwickler, mit dem Sie Sicherheitsprobleme im Zusammenhang mit JWTs erkennen können. So kann Snyk beispielsweise feststellen, ob Ihre Anwendung schwache Verschlüsselungsalgorithmen verwendet oder beim Senden von Cookies an den Client die Flags HttpOnly oder Secure fehlen.

Sehen wir uns ein Beispiel für einen Codeausschnitt in Python an:

1from flask import Flask, jsonify, request
2from flask_jwt_extended import JWTManager, jwt_required, create_access_token
3
4app = Flask(__name__)
5
6app.config['JWT_SECRET_KEY'] = 'super-secret'  # Keep your secret key safe and make sure it’s unique!
7jwt = JWTManager(app)
8
9@app.route('/login', methods=['POST'])
10def login():
11    username = request.json.get('username')
12    password = request.json.get('password')
13
14    # Check if the username and password are valid
15    # ...
16
17    # If the user is authenticated, create a JWT
18    access_token = create_access_token(identity=username)
19
20    return jsonify({'access_token': access_token}), 200
21
22@app.route('/protected', methods=['GET'])
23@jwt_required
24def protected():
25    return jsonify({'message': 'You are authorized!'}), 200
26
27if __name__ == '__main__':
28    app.run()

In diesem Beispiel verwenden wir die Bibliothek Flask-JWT-Extended, um JWTs zu erstellen und zu überprüfen. Snyk kann jedoch feststellen, ob wir unsichere Verschlüsselungsalgorithmen verwenden oder JWTs serverseitig nicht korrekt validieren.

Mit einem Tool wie Snyk können Sie sicherstellen, dass Ihre Anwendung geschützt ist und Ihre JWTs geheim bleiben.

Best Practice Nr. 2: JWTs validieren

Wie im vorherigen Abschnitt erwähnt, dienen JWTs der Authentifizierung und Autorisierung. Werden sie kompromittiert, kann es zu Sicherheitsverletzungen kommen. Deshalb müssen JWTs unbedingt validiert werden, bevor Sie ihnen vertrauen.

Warum die Validierung von JWTs wichtig ist

Durch die Validierung von JWTs stellen Sie sicher, dass eine eingehende Anfrage von einem authentifizierten und autorisierten Benutzer stammt. Sie bestätigt, dass das Token nicht abgelaufen und nicht manipuliert worden ist und von der ausstellenden Partei signiert wurde. Wird ein JWT nicht korrekt validiert, kann dies zu Sicherheitslücken wie unbefugtem Zugriff und Datenschutzverletzungen führen.

So validieren Sie JWTs

Für die Validierung von JWTs sind folgende Schritte erforderlich:

1. JWT parsen, um Header, Payload und Signatur auszulesen.

2. Signatur mit dem geheimen oder öffentlichen Schlüssel überprüfen.

3. Die Claims für den Ablaufzeitpunkt (exp) und den frühesten Gültigkeitszeitpunkt (nbf) prüfen, um sicherzustellen, dass das JWT gültig ist.

4. Den Aussteller-Claim (iss) überprüfen, um sicherzustellen, dass das JWT von einer vertrauenswürdigen Partei ausgestellt wurde.

5. Den Audience-Claim (aud) überprüfen, um sicherzustellen, dass das JWT für den richtigen Empfänger bestimmt ist.

Python bietet verschiedene Bibliotheken zur Validierung von JWTs, darunter PyJWT, eine Python-Implementierung des JWT-Standards. Im Folgenden sehen Sie ein Beispiel für die Validierung eines JWTs mit PyJWT:

1import jwt
2
3token = "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyLCJleHAiOjE1MTYyMzkwMjJ9.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c"
4
5try:
6    decoded_token = jwt.decode(token, 'secret', algorithms=['HS256'], options={"verify_exp": True, "verify_iss": True, "verify_aud": True})
7    print(decoded_token)
8except jwt.ExpiredSignatureError:
9    print("Token has expired")
10except jwt.InvalidIssuerError:
11    print("Invalid issuer")
12except jwt.InvalidAudienceError:
13    print("Invalid audience")
14except jwt.InvalidTokenError:
15    print("Invalid token")

Im obigen Beispiel wird die Methode jwt.decode() verwendet, um das Token zu dekodieren und zu validieren. Der Parameter algorithms gibt an, welche Algorithmen zur Überprüfung der Signatur verwendet werden sollen. Der Parameter options legt zusätzliche Prüfungen fest, etwa die Überprüfung des Ablaufzeitpunkts, des Ausstellers und der Audience.

Praxisbeispiel: So findet Snyk Sicherheitsprobleme bei der Validierung von JWTs

Snyk bietet ein umfassendes Tool für Sicherheitsscans, das Sicherheitsprobleme bei der Validierung von JWTs erkennen kann. So kann Snyk beispielsweise Ihre Codebasis auf unsichere Verfahren zur JWT-Validierung untersuchen, etwa auf die Verwendung eines unsicheren Algorithmus oder darauf, dass Aussteller- oder Audience-Claims nicht überprüft werden. Snyk kann außerdem Sicherheitslücken in Drittanbieterbibliotheken erkennen, die zur Validierung von JWTs verwendet werden.

Mit Snyk können Entwickler sicherstellen, dass ihre Codebasis frei von Sicherheitslücken im Zusammenhang mit der JWT-Validierung ist. Um loszulegen, können Entwickler ein kostenloses Konto erstellen und Snyk in ihren Entwicklungs-Workflow integrieren.

Best Practice Nr. 3: Ablaufzeit für JWTs festlegen

JWTs werden in modernen Webanwendungen häufig verwendet, um Informationen sicher zwischen Parteien zu übertragen. Werden sie jedoch nicht ausreichend geschützt, können sie zu Sicherheitslücken führen, die die gesamte Anwendung gefährden. Eine der Best Practices zur Vermeidung solcher Sicherheitslücken ist, für JWTs einen Ablaufzeitpunkt festzulegen.

Warum es wichtig ist, für JWTs einen Ablaufzeitpunkt festzulegen

Durch das Festlegen eines Ablaufzeitpunkts wird die Dauer begrenzt, während der ein JWT verwendet werden kann. Nach Ablauf ist das JWT ungültig, und der Benutzer muss ein neues JWT anfordern, um auf die Anwendung zuzugreifen. So wird verhindert, dass Angreifer ein altes JWT für den Zugriff auf die Anwendung verwenden, selbst wenn sich der Benutzer bereits abgemeldet hat.

So legen Sie einen Ablaufzeitpunkt für JWTs fest

Ein Ablaufzeitpunkt wird festgelegt, indem dem Payload des JWT ein Ablauf-Claim hinzugefügt wird. Der Wert des Ablauf-Claims (exp) ist ein Unix-Zeitstempel, der angibt, wann das JWT abläuft. Bei der Überprüfung des JWT kann der Server den exp-Claim prüfen, um sicherzustellen, dass das JWT noch gültig ist.

Hier sehen Sie ein Beispiel dafür, wie Sie in Python eine Ablaufzeit von 30 Minuten für ein JWT festlegen:

1import jwt
2import datetime
3
4# Set the expiration time to 30 minutes from now
5exp_time = datetime.datetime.utcnow() + datetime.timedelta(minutes=30)
6
7# Encode the JWT with the expiration claim
8jwt.encode({'some_payload': 'some_value', 'exp': exp_time}, 'secret_key', algorithm='HS256')

Praxisbeispiel: So findet Snyk Sicherheitsprobleme

Snyk ist ein Sicherheitstool für Entwickler, das Sicherheitsprobleme beim Festlegen von Ablaufzeiten für JWTs erkennen kann. So kann Snyk Open Source beispielsweise die Abhängigkeiten Ihrer Anwendung auf bekannte Sicherheitslücken untersuchen, darunter auch Sicherheitslücken im Zusammenhang mit JWTs.

Snyk Open Source kann außerdem feststellen, ob eine Anwendung eine veraltete oder unsichere Version einer JWT-Bibliothek verwendet. Indem Sie Ihre JWT-Bibliotheken auf dem neuesten Stand halten, können Sie sicherstellen, dass Sicherheitslücken im Zusammenhang mit JWTs behoben werden.

Empfohlene Open-Source-Pakete

Für Python gibt es mehrere Open-Source-Pakete, die beim Festlegen von Ablaufzeiten für JWTs helfen. Ein Beispiel ist PyJWT. Es bietet eine einfache Schnittstelle zum Kodieren und Dekodieren von JWTs, einschließlich der Festlegung eines Ablaufzeitpunkts.

Um PyJWT zu installieren, können Sie pip verwenden:

pip install PyJWT

Nach der Installation können Sie mit PyJWT den Ablaufzeitpunkt eines JWT festlegen:

1import jwt
2import datetime
3
4# Set the expiration time to 30 minutes from now
5exp_time = datetime.datetime.utcnow() + datetime.timedelta(minutes=30)
6
7# Encode the JWT with the expiration claim using PyJWT
8jwt.encode({'some_payload': 'some_value', 'exp': exp_time}, 'secret_key', algorithm='HS256')

Zusammenfassend lässt sich sagen: Ablaufzeiten für JWTs festzulegen, ist eine wichtige Best Practice für die Sicherheit und hilft, Sicherheitslücken in Ihrer Anwendung zu vermeiden. Mit Tools wie Snyk und Open-Source-Paketen wie PyJWT können Sie sicherstellen, dass Ihre Anwendung geschützt ist und den neuesten Best Practices für Sicherheit entspricht.

Warum Best Practices für die JWT-Sicherheit so wichtig sind

Zusammenfassend sind Best Practices für die JWT-Sicherheit entscheidend, um die Sicherheit und Integrität Ihrer Webanwendungen zu gewährleisten. Wie wir gesehen haben, kann der unsachgemäße Umgang mit JWTs zu schwerwiegenden Sicherheitslücken und -verletzungen führen, die unbefugten Zugriff, Datenlecks und Reputationsschäden nach sich ziehen. Wenn Entwickler die drei wichtigsten Best Practices für den Umgang mit JWTs befolgen, können sie das Risiko solcher Vorfälle deutlich senken.

1. JWTs sicher speichern: Vermeiden Sie es, JWTs im lokalen Speicher oder in Cookies zu speichern. Nutzen Sie stattdessen sicherere Alternativen wie HTTP-only-Cookies oder serverseitiges Session-Management.

2. JWTs validieren und überprüfen: Validieren Sie JWTs immer nach Erhalt und überprüfen Sie die Signatur, um sicherzustellen, dass sie nicht manipuliert wurden. Implementieren Sie eine geeignete Fehlerbehandlung, um ungültige Tokens sicher zu verarbeiten.

3. Starke Verschlüsselung und Algorithmen verwenden: Wählen Sie robuste Verschlüsselungsalgorithmen wie RS256 und verwalten Sie Ihre privaten Schlüssel sicher, um die unbefugte Erstellung und Änderung von Tokens zu verhindern.

Erhöhen Sie die Anwendungssicherheit mit Snyk

Um die Sicherheit Ihrer Webanwendungen weiter zu stärken, sollten Sie Snyk nutzen. Snyk ist ein leistungsstarkes Sicherheitstool für Entwickler, das Ihren Quellcode, Open-Source-Pakete, Container-Images und Cloud-Konfigurationen auf Sicherheitslücken scannt. Mit Snyk Open Source können Sie Sicherheitsprobleme in Ihren Python-Projekten und deren Abhängigkeiten schnell erkennen und beheben.

Snyk kann Ihnen beispielsweise helfen, veraltete oder verwundbare Versionen einer JWT-Bibliothek in Ihrem Python-Projekt zu erkennen und konkrete Empfehlungen für ein Upgrade auf eine sichere Version geben.

# Requirements.txt file in your Python project
pyjwt==1.7.1

Snyk weist Sie möglicherweise darauf hin, dass die Version 1.7.1 von pyjwt verwundbar ist, und empfiehlt ein Upgrade auf eine sicherere Version wie 2.1.0.

# Updated Requirements.txt file
pyjwt==2.1.0

Indem Sie Snyk in Ihren Entwicklungs-Workflow integrieren, können Sie Sicherheitsprobleme proaktiv erkennen und beheben, bevor sie kritisch werden. So bleiben Ihre Anwendungen sicher und konform.

Werden Sie jetzt aktiv

Überlassen Sie die Sicherheit Ihrer Webanwendungen nicht dem Zufall. Befolgen Sie die Best Practices für den Umgang mit JWTs und erstellen Sie ein Snyk-Konto. So erhalten Sie eine umfassende Sicherheitslösung, die Sie dabei unterstützt, Ihre Anwendungen vor Sicherheitslücken und Risiken zu schützen. Mit Snyk können Sie zuversichtlich entwickeln und wissen, dass Ihre Anwendungen sicher sind und Branchenstandards erfüllen. Erstellen Sie noch heute Ihr kostenloses Konto, um Ihre Webanwendungen zu schützen!