টোকেন বিশ্লেষণ
টোকেন ধারাবাহিকতা বিশ্লেষক পৃষ্ঠা (টোকেন বিশ্লেষণ) পেস্ট করা টোকেনের নমুনা নিয়ে তাদের স্বতন্ত্রতা, দৈর্ঘ্য, পরিচিত বিন্যাস এবং অক্ষরের বণ্টনের সারসংক্ষেপ দেখায়।
নমুনা জমা দেওয়া
- সহায়ক সরঞ্জাম > টোকেন ধারাবাহিকতা বিশ্লেষক খুলুন।
- ইনপুটে এক লাইনে একটি করে একাধিক টোকেন পেস্ট করুন। পরিবর্তন দেখতে যথেষ্ট স্বতন্ত্রভাবে তৈরি নমুনা দিন; একই টোকেনের একাধিক কপি দেবেন না।
- বিশ্লেষণ করুন চাপুন।
টোকেন তৈরি করে এমন কাজ বারবার করে নমুনা সংগ্রহ করুন, যেমন বারবার লগইন করা, নতুন CSRF টোকেন চাওয়া বা UI থেকে API কী তৈরি করা। উত্তর থেকে মানগুলো ক্যাপচার করুন।
বিশ্লেষণের আউটপুট
এনট্রপি স্কোর
পৃষ্ঠা প্রতিটি টোকেনের অক্ষরের ঘটনার হার থেকে Shannon এনট্রপি হিসাব করে। গড়, সর্বনিম্ন, সর্বোচ্চ ও প্রতিটি টোকেনের মান দেখায়। এটি টোকেন বা তার জেনারেটরের মোট ক্রিপ্টোগ্রাফিক শক্তি নয়। দেখানো স্কোরকে 64-বিট বা 128-বিট কী শক্তির শর্তের সঙ্গে তুলনা করবেন না।
প্যাটার্ন শনাক্তকরণ
বিন্যাস শনাক্তকারী JWT-সদৃশ মান, UUID, পরিচিত দৈর্ঘ্যের হেক্সাডেসিমাল মান, Base64url-সদৃশ স্ট্রিং ও সংখ্যাসূচক মান চেনে। শনাক্তকরণ শুধু গঠন বর্ণনা করে; JWT স্বাক্ষর যাচাই করে না বা হেক্স টোকেন তৈরির অ্যালগরিদম নির্ধারণ করে না। আলাদা অনুরোধ সিকোয়েন্সার সংগ্রহ করা নমুনায় সরল গাণিতিক ক্রমও পরীক্ষা করে।
অক্ষরের বণ্টন
অক্ষরের ঘটনার হিটম্যাপ নমুনাজুড়ে মুদ্রণযোগ্য ASCII অক্ষরের বণ্টন দেখায়। অসম বণ্টন থেকে গঠন বোঝা যেতে পারে, তবে সমান বণ্টন অনুমান করা অসম্ভব হওয়ার প্রমাণ নয়।
ফলাফল ব্যাখ্যা
অ্যাপ্লিকেশনের টোকেনের জীবনচক্র, এনকোডিং ও তৈরির পদ্ধতির সঙ্গে মিলিয়ে মাপগুলো পর্যালোচনা করুন। নিজে যাচাই করার কিছু উদাহরণ:
- ধারাবাহিক ক্রম থাকলে একটি বৈধ টোকেনধারী আক্রমণকারী পাশের টোকেনগুলো গণনা করতে পারে।
- শুরুতে টাইমস্ট্যাম্প থাকলে টোকেন খোঁজার পরিসর অল্প সময়ের মধ্যে সীমাবদ্ধ হয়।
- অক্ষরের বৈচিত্র্য কম হলে কার্যকর কী পরিসর টোকেনের দৈর্ঘ্য দেখে যতটা মনে হয়, তার চেয়ে অনেক ছোট।
ব্যবহারের ক্ষেত্র
- সেশন টোকেন - পুনরাবৃত্ত মান ও অপ্রত্যাশিতভাবে ছোট অক্ষরসমষ্টি পরীক্ষা করুন।
- CSRF টোকেন - তাদের যাচাই আলাদাভাবে পরীক্ষা করার আগে স্বতন্ত্র নমুনা তুলনা করুন।
- API কী - বিন্যাস ও পরিবর্তন পরিদর্শন করুন; তৈরির শক্তি আলাদাভাবে যাচাই করুন।
- পাসওয়ার্ড রিসেট টোকেন - অনুমানযোগ্য রিসেট টোকেন থাকলে ভুক্তভোগীর কোনো অংশগ্রহণ ছাড়াই অ্যাকাউন্ট দখল করা যায়।
- আমন্ত্রণ কোড ও সংখ্যাসূচক ID - নিরাপত্তার সঙ্গে সম্পর্কিত প্রসঙ্গে ছোট কোড বা স্বয়ংক্রিয়ভাবে বাড়তে থাকা ID প্রকাশিত হয় কি না পরীক্ষা করুন।