تحلیل توکن
صفحهٔ تحلیلگر توالی توکن (تحلیل توکن) نمونه‌های توکن چسبانده‌شده را می‌گیرد و یکتایی، طول، قالب‌های قابل‌شناسایی و توزیع نویسه‌ها را خلاصه می‌کند.
ارائهٔ نمونه
- ابزارهای کمکی > تحلیل توکن را باز کنید.
- چندین توکن را در ناحیهٔ ورودی بچسبانید، هر کدام در یک خط. برای بررسی تنوع، تعداد کافی نمونهٔ مستقل تولیدشده وارد کنید، نه نسخه‌های تکراری از یک توکن.
- روی تحلیل کلیک کنید.
نمونه‌ها را با تکرار عملیاتی که توکن را تولید می‌کند (ورود مکرر، درخواست توکن‌های CSRF جدید یا تولید کلیدهای API از رابط کاربری) و ثبت مقادیر از پاسخ‌ها گردآوری کنید.
خروجی تحلیل
امتیاز آنتروپی
صفحه آنتروپی شانون را از فراوانی نویسه‌ها در هر توکن محاسبه می‌کند و میانگین، کمینه، بیشینه و مقدار هر توکن را گزارش می‌کند. این مقدار قدرت رمزنگاری کل توکن یا مولد آن نیست. امتیاز نمایش‌داده‌شده را با الزامات قدرت کلید 64 بیتی یا 128 بیتی مقایسه نکنید.
تشخیص الگو
تشخیص‌دهندهٔ قالب، مقادیر شبیه JWT، شناسه‌های UUID، طول‌های رایج هگز، رشته‌های شبیه Base64url و مقادیر عددی را تشخیص می‌دهد. تشخیص، شکل را توصیف می‌کند؛ امضای JWT را تأیید نمی‌کند و الگوریتم تولیدکنندهٔ یک توکن هگز را مشخص نمی‌کند. توالی‌ساز درخواست جداگانه نیز دنباله‌های حسابی ساده را در نمونه‌های گردآوری‌شده بررسی می‌کند.
توزیع نویسه‌ها
نقشهٔ حرارتی فراوانی نویسه‌ها، توزیع نویسه‌های قابل‌چاپ ASCII را در نمونه نشان می‌دهد. توزیع نامتوازن می‌تواند ساختار را آشکار کند، اما توزیع یکنواخت پیش‌بینی‌ناپذیری را اثبات نمی‌کند.
تفسیر نتایج
اندازه‌گیری‌های نمایش‌داده‌شده را همراه با چرخهٔ عمر توکن، کدگذاری و روش تولید آن در برنامه مرور کنید. نمونه‌هایی از مواردی که باید دستی بررسی شوند:
- الگوی ترتیبی یعنی مهاجمی که یک توکن معتبر دارد می‌تواند توکن‌های مجاور را فهرست کند.
- پیشوند زمانی یعنی فضای جست‌وجوی توکن به یک بازهٔ زمانی باریک محدود می‌شود.
- تنوع کم نویسه‌ها یعنی فضای مؤثر کلید بسیار کوچک‌تر از چیزی است که طول توکن نشان می‌دهد.
کاربردها
- توکن‌های نشست: مقادیر تکراری و مجموعهٔ نویسه‌هایی را که به‌شکلی غیرمنتظره کوچک‌اند بررسی کنید.
- توکن‌های CSRF: نمونه‌های مستقل را مقایسه کنید و سپس اعتبارسنجی آن‌ها را جداگانه آزمایش کنید.
- کلیدهای API: قالب و تنوع را بررسی کنید؛ قدرت تولید را جداگانه تأیید کنید.
- توکن‌های بازنشانی گذرواژه: توکن بازنشانی قابل‌پیش‌بینی، تصاحب حساب بدون تعامل قربانی را ممکن می‌کند.
- کدهای دعوت و شناسه‌های عددی: آزمایش کنید که آیا کدهای کوتاه یا شناسه‌های خودافزایشی در زمینه‌ای مرتبط با امنیت افشا شده‌اند.