Promt-Hub
Главная / Программирование и IT / Аудитор безопасности JWT

Аудитор безопасности JWT

Описание промпта
Специализированный промпт для глубокого анализа кода на предмет уязвимостей в реализации JSON Web Tokens (JWT). Проверяет алгоритмы, управление ключами, валидацию и жизненный цикл токенов.
Что делает этот промпт
  • Автоматизирует процесс аудита безопасности JWT-токенов в коде. Выявляет критические уязвимости, такие как weak secrets, algorithm confusion, improper validation и insecure key management.
Преимущества
  • Помогает разработчикам и security-инженерам быстро находить и исправлять уязвимости аутентификации. Снижает риск компрометации данных и несанкционированного доступа благодаря детальному разбору с PoC и рекомендациями.
Для кого подходит
  • Backend-разработчики, DevOps-инженеры, специалисты по кибербезопасности (AppSec), аудиторы кода.
Инструкция по использованию промпта
Вставь свой код в поле {{CODE}}, укажи язык в {{LANGUAGE}} и фреймворк в {{FRAMEWORK}}. Для архитектуры токенов используй {{ARCHITECTURE}}. Промпт вернет структурированный отчет с оценкой рисков и примерами исправлений.
Что нужно предоставить
Необходимо предоставить фрагмент кода реализации JWT, указание языка программирования, используемого фреймворка или библиотеки, а также описание архитектуры токенов (access/refresh, микросервисы и т.д.).
Что ожидать в результате
Детальный Markdown-отчет с таблицей рисков, списком критических находок с CVSS-оценками, сценариями атак, примерами эксплойтов и безопасными альтернативами кода.
Рекомендации
Промпт эффективен для статического анализа кода. Для полной проверки рекомендуется также проводить динамическое тестирование. Убедись, что предоставленный код не содержит реальных секретных ключей.
Ограничения
Не заменяет полноценный пентест. Может пропустить логические уязвимости, не связанные напрямую с криптографией JWT. Требует точного контекста архитектуры для оценки жизненного цикла токенов.
Переменные
LANGUAGE
LANGUAGE
Обязательная

Язык программирования (например, JavaScript, Python, Java)

FRAMEWORK
FRAMEWORK
Обязательная

Используемый фреймворк или библиотека (например, Express.js, jsonwebtoken)

CODE
CODE
Обязательная

Фрагмент кода реализации JWT

ARCHITECTURE
ARCHITECTURE
Необязательная

Описание архитектуры токенов (access/refresh, микросервисы)

Промпт открыт для всех. Зарегистрируйтесь, чтобы копировать одним кликом, сохранять промпты, оценивать их и подписываться на авторов.
Текст промпта
ChatGPT / Claude / Llama Войти для копирования 
Выступи в роли старшего инженера по безопасности приложений с 12-летним опытом в области аутентификации и JWT. Твоя задача — провести аудит предоставленной реализации JWT на наличие уязвимостей, ведущих к обходу аутентификации, эскалации привилегий или несанкционированному доступу.

Входные данные:
- Язык программирования: {{LANGUAGE}}
- Фреймворк/библиотека: {{FRAMEWORK}}
- Код реализации: {{CODE}}
- Архитектура токенов: {{ARCHITECTURE}}

Проанализируй код по следующим критериям:
1. Безопасность алгоритмов: явное указание алгоритма, отклонение 'none', предотвращение путаницы алгоритмов (RS256/HS256), использование только надежных алгоритмов (RS256, ES256, EdDSA).
2. Управление ключами: хранение ключей вне кода, достаточная энтропия, механизм ротации, безопасная загрузка публичных ключей (JWKS).
3. Валидация токенов: проверка подписи перед claims, проверка всех обязательных claims (exp, iat, iss, aud, nbf).
4. Жизненный цикл: короткий TTL для access-токенов, ротация refresh-токенов, возможность отзыва токенов.
5. Безопасность payload: отсутствие чувствительных данных, серверная проверка прав.

Сформируй отчет в формате Markdown:
## JWT Security Audit Report

### Summary
| Category | Status | Risk Level |
|----------|--------|------------|
| Algorithm Security | PASS/FAIL | CRITICAL/HIGH/MEDIUM/LOW |
| Key Management | PASS/FAIL | CRITICAL/HIGH/MEDIUM/LOW |
| Token Validation | PASS/FAIL | CRITICAL/HIGH/MEDIUM/LOW |
| Token Lifecycle | PASS/FAIL | CRITICAL/HIGH/MEDIUM/LOW |

**Overall Risk**: [CRITICAL/HIGH/MEDIUM/LOW]

### Critical Findings
| ID | Issue | Location | Impact | CVSS |
|----|-------|----------|--------|------|
| J1 | [Issue] | [file:line] | [Impact] | [score] |

### Detailed Analysis
Для каждой критической уязвимости (J1, J2...) предоставь:
- **Severity** и **CVSS Score**.
- **CWE** ID.
- **Vulnerable Code**: фрагмент кода с ошибкой.
- **Attack Scenario**: пошаговый сценарий атаки.
- **Proof of Concept**: команды или код для эксплуатации.
- **Secure Code**: исправленный фрагмент кода.

### Token Configuration Analysis
| Parameter | Current | Recommended |
|-----------|---------|-------------|
| Algorithm | [current] | RS256/ES256 |
| Access Token TTL | [current] | 15 minutes |

### Recommendations
1. [Priority fix 1]
2. [Priority fix 2]

Не игнорируй проверку алгоритма, управление ключами и механизмы отзыва токенов. Не доверяй значениям из токена без серверной валидации.

Поделитесь в социальных сетях

Комментарии

Войдите, чтобы комментировать.

Комментариев пока нет.