Tokenanalyse
De pagina Tokenanalyse (met de paneeltitel Analyse van tokenreeksen) verwerkt geplakte tokensteekproeven en vat uniciteit, lengte, herkenbare formaten en tekenverdeling samen.
Een steekproef indienen
- Open Hulpprogramma's > Tokenanalyse.
- Plak meerdere tokens in het invoergebied, één per regel. Neem voldoende onafhankelijk gegenereerde exemplaren op om variatie te onderzoeken, geen herhaalde kopieën van hetzelfde token.
- Klik op Analyseren.
Verzamel exemplaren door de bewerking die het token genereert te herhalen (herhaaldelijk aanmelden, nieuwe CSRF-tokens aanvragen, API-sleutels via de interface genereren) en de waarden uit antwoorden vast te leggen.
Analyse-uitvoer
Entropiescore
De pagina berekent Shannon-entropie uit tekenfrequenties binnen elk token en rapporteert gemiddelde, minimum, maximum en waarden per token. Dit is niet de totale cryptografische sterkte van een token of zijn generator. Vergelijk de getoonde score niet met eisen voor sleutelsterkte van 64-bit of 128-bit.
Patroondetectie
De formaatdetector herkent JWT-achtige waarden, UUID's, veelvoorkomende hexadecimale lengten, Base64url-achtige tekenreeksen en numerieke waarden. Herkenning beschrijft de vorm; ze verifieert geen JWT-handtekening en identificeert niet het algoritme waarmee een hexadecimaal token is gegenereerd. De afzonderlijke Verzoeksequencer controleert ook eenvoudige rekenkundige reeksen in verzamelde steekproeven.
Tekenverdeling
Een heatmap van tekenfrequenties toont de verdeling van afdrukbare ASCII-tekens over de steekproef. Een ongelijke verdeling kan structuur onthullen, maar een gelijkmatige verdeling bewijst geen onvoorspelbaarheid.
Resultaten interpreteren
Beoordeel de getoonde metingen samen met de tokenlevenscyclus, codering en generatiemethode van de applicatie. Voorbeelden van zaken om handmatig te onderzoeken:
- Een sequentieel patroon betekent dat een aanvaller met één geldig token aangrenzende tokens kan opsommen.
- Een tijdstempel als voorvoegsel betekent dat de tokenzoekruimte tot een smal tijdvenster wordt teruggebracht.
- Weinig tekenvariatie betekent dat de effectieve sleutelruimte veel kleiner is dan de tokenlengte suggereert.
Toepassingen
- Sessietokens: onderzoek dubbele waarden en onverwacht kleine tekensets.
- CSRF-tokens: vergelijk onafhankelijke exemplaren voordat je hun validatie afzonderlijk test.
- API-sleutels: inspecteer formaat en variatie; verifieer de sterkte van de generatie afzonderlijk.
- Wachtwoordresettokens: een voorspelbaar resettoken maakt accountovername mogelijk zonder interactie van het slachtoffer.
- Uitnodigingscodes en numerieke ID's: test of korte codes of automatisch oplopende ID's worden blootgesteld in een beveiligingsrelevante context.