JWT Saldırıları: Token Forgery ve Algorithm Confusion

JSON Web Token (JWT) saldırıları, authentication ve authorization token'larını manipüle etme ve forgery teknikleridir ve modern API güvenliğinde kritik konudur. Algorithm confusion attack, JWT header'ındaki algorithm'ı RS256'dan HS256'ya değiştirerek public key'i HMAC secret olarak kullanma saldırısıdır; server public key'i ile token sign edilir ve server aynı key'i verification için kullanır; algorithm whitelist ve server-side algorithm enforcement ile önlenebilir. None algorithm abuse, JWT header'ında "alg": "none" set ederek signature verification bypass saldırısıdır; bazı libraries none algorithm'ı kabul eder ve unsigned token'ı valid kabul eder; none algorithm reject ve explicit algorithm requirement ile mitigation sağlanır. Weak secret brute force, JWT signing secret'inin zayıf olması durumunda offline brute force saldırısıdır; JWT cracker (hashcat mode 16500) ile dictionary ve rule-based attack yapılır; strong random secret (256+ bit) ve secret rotation ile önlenebilir. Kid (Key ID) injection, JWT header'ındaki kid parameter'ını manipüle ederek farklı key file path veya SQL injection ile arbitrary key loading saldırısıdır; kid input validation ve whitelist-based key resolution ile mitigation sağlanır. JWT best practices, short-lived tokens, refresh token rotation, audience validation ve issuer validation ile comprehensive token security sağlanır; JWS (signed) ve JWE (encrypted) kombinasyonu ile confidentiality ve integrity birlikte sağlanır.