Hackowanie na Ekranie - Gdzie bezpiecznie trzymać tokeny JWT ?!

Na szkoleniu dowiesz się:

✅Co to są tokeny JWT i gdzie są wykorzystywane?
✅Jakie masz opcje ich przechowywania i jak to wpływa na ich bezpieczeństwo?
✅Zobaczysz co może się stać jak nie zadbasz o ich bezpieczeństwo 🙂
✅Zobaczysz kod aplikacji i kod złośliwych payloadów w akcji

00:08:05 start
00:50:25 demo:

JWT w cookiesach
Słaby secret :)
Podszywanie się pod innego user'a
Sensitive data w Payload
XSS z bypassem flagi httpOnly

00:00:00 Start
01:10:28 podatność od strony kodu
01:15:57 CSRF (JWT w Cookies)
01:20:38 Specjalne "popsucie" kodu aplikacji (żeby CSRF był możliwy)
01:27:34 JWT w localStorage
01:35:13 Dlaczego localStorage to jednak zły pomysł :)
01:43:25 Sesja Q&A

[lukaqwerty]

Hackowanie na Ekranie najlepsza seria na polskim YT. Fajnie byłoby zobaczyć materiał jak wygląda uwierzytelnianie, autoryzacja i inne zabezpieczenia w większych aplikacjach webowych jak np. banki.

[malipek]

Sam pomysł aby funkcję wylogowania użytkownika realizować przez "zapomnienie" na froncie tokenu JWT jest strasznie krzywy, osoba praktykująca bezpieczne programowanie nie powinna czegoś takiego propagować - podatność na reply attack. Tokeny muszą mieć albo krótki expiry time (a backend powinien go sprawdzać), albo powinny trafiać na blacklistę w momencie wylogowania.

[milesq]

40:50 ale docker chyba nie ma prawie żadnego wpływu na wydajność w runtimie