Authentication و Authorization API

مکانیزم‌های Authentication در API

JWT (JSON Web Token)

JWT یک token امن است که از سه بخش تشکیل شده: header (الگوریتم و نوع)، payload (داده‌ها) و signature (امضا). هر بخش به‌صورت Base64url رمزگذاری شده و با نقطه از هم جدا می‌شوند.

1eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkFsaSJ9.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c
2
3header:  {"alg": "HS256"}
4payload: {"sub": "1234567890", "name": "Ali"}
5signature: HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)

آسیب‌پذیری‌های JWT

• الگوریتم none: امضا نکردن token
• الگوریتم HS256 با secret ضعیف
• عدم بررسی expiration
• ذخیره اطلاعات حساس در payload
• عدم لغو token‌های قدیمی

1# decode کردن JWT
2echo 'eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxMjM0NTY3ODkwIn0.xxx' | cut -d'.' -f2 | base64 -d
3
4# تست الگوریتم none
5curl -H "Authorization: Bearer eyJhbGciOiJub25lIiwidHlwIjoiSldUIn0.eyJzdWIiOiIxIiwicm9sZSI6ImFkbWluIn0." \
6  https://target.com/api/admin

OAuth 2.0

OAuth 2.0 یک چارچوب مجوز است که به کاربر اجازه می‌دهد بدون اشتراک‌گذاری رمز عبور، دسترسی محدود به منابع خود بدهد.

آسیب‌پذیری‌های OAuth 2.0

• Redirect URI manipulation
• CSRF در فرآیند authorization
• نگهداری ناامن access token
• عدم اعتبارسنجی state parameter
• Scope escalation

API Key

API Key یک رشته منحصربه‌فرد است که برای شناسایی و احراز هویت برنامه استفاده می‌شود.

آسیب‌پذیری‌های API Key

• فاش شدن در URL یا لاگ‌ها
• فاش شدن در کد منبع (GitHub)
• عدم محدودیت دسترسی
• عدم چرخش منظم

روش‌شناسی تست

مرحله ۱: شناسایی مکانیزم Authentication

• بررسی header‌های Authorization
• بررسی cookie‌ها
• بررسی پارامترهای URL
• بررسی مستندات API

مرحله ۲: تست JWT

• Decode و بررسی payload
• تست الگوریتم none
• تست secret ضعیف
• تست expiration
• تست لغو token

مرحله ۳: تست OAuth 2.0

• بررسی redirect URI
• تست CSRF در authorization
• بررسی scope
• تست token storage

تأثیر

• دسترسی غیرمجاز به حساب‌های کاربران
• سرقت اطلاعات حساس
• جعل هویت کاربران
• دسترسی مدیریتی

راه‌حل

• استفاده از الگوریتم‌های امن (RS256 به‌جای HS256)
• استفاده از secret قوی و منحصربه‌فرد
• بررسی expiration و not-before
• استفاده از PKCE در OAuth 2.0
• عدم ذخیره اطلاعات حساس در JWT
• چرخش منظم API Key