ניתוח אסימונים
הדף מנתח רצפי אסימונים (ניתוח אסימונים) מקבל דגימות אסימונים מודבקות ומסכם ייחודיות, אורך, פורמטים ניתנים לזיהוי והתפלגות תווים.
הזנת מדגם
- פתחו את כלי עזר > ניתוח אסימונים.
- הדביקו כמה אסימונים באזור הקלט, אחד בכל שורה. כללו מספיק דגימות שנוצרו באופן עצמאי כדי לבחון שונות, ולא עותקים חוזרים של אותו אסימון.
- לחצו על ניתוח.
אספו דגימות על ידי חזרה על הפעולה שיוצרת את האסימון (התחברו שוב ושוב, בקשו אסימוני CSRF חדשים או צרו מפתחות API דרך הממשק) ולכדו את הערכים מהתגובות.
פלט הניתוח
ציון אנטרופיה
הדף מחשב אנטרופיית שאנון משכיחויות התווים בכל אסימון ומדווח על ממוצע, מינימום, מקסימום וערכים לכל אסימון. זה אינו החוזק הקריפטוגרפי הכולל של האסימון או של המחולל שלו. אל תשוו את הציון המוצג לדרישות חוזק מפתח של 64 סיביות או 128 סיביות.
זיהוי דפוסים
מזהה הפורמטים מזהה ערכים במבנה JWT, מזהי UUID, אורכים הקסדצימליים נפוצים, מחרוזות במבנה Base64url וערכים מספריים. הזיהוי מתאר את המבנה; הוא אינו מאמת חתימת JWT או מזהה את האלגוריתם שיצר אסימון הקסדצימלי. כלי רצף הבקשות הנפרד בודק גם סדרות חשבוניות פשוטות בדגימות שנאספו.
התפלגות תווים
מפת חום של שכיחות תווים מציגה את התפלגות תווי ASCII הניתנים להדפסה במדגם. התפלגות לא אחידה יכולה לחשוף מבנה, אך התפלגות אחידה אינה מוכיחה אי-יכולת חיזוי.
פירוש התוצאות
בחנו את המדידות המוצגות לצד מחזור החיים של אסימוני היישום, הקידוד ושיטת היצירה שלהם. דוגמאות לנושאים שיש לבדוק ידנית:
- דפוס סדרתי פירושו שתוקף המחזיק באסימון תקף אחד יכול להפיק רשימה של אסימונים סמוכים.
- קידומת של חותמת זמן פירושה שמרחב החיפוש של האסימון מצטמצם לחלון זמן צר.
- גיוון תווים נמוך פירושו שמרחב המפתחות האפקטיבי קטן בהרבה ממה שאורך האסימון מרמז.
שימושים
- אסימוני הפעלה: בדקו ערכים כפולים וקבוצות תווים קטנות באופן בלתי צפוי.
- אסימוני CSRF: השוו דגימות עצמאיות לפני בדיקת האימות שלהן בנפרד.
- מפתחות API: בחנו את הפורמט ואת השונות; ודאו את חוזק היצירה בנפרד.
- אסימוני איפוס סיסמה: אסימון איפוס שניתן לחיזוי מאפשר השתלטות על חשבון ללא אינטראקציה מצד הקורבן.
- קודי הזמנה ומזהים מספריים: בדקו אם קודים קצרים או מזהים שעולים אוטומטית נחשפים בהקשר רלוונטי לאבטחה.