Sicherheits-Werkzeuge
Hashes, Tokens, Passwörter und Schlüssel — lokal erzeugt.
Bei Sicherheitswerkzeugen ist lokale Verarbeitung nicht ein Vorteil, sondern die Voraussetzung. Ein Passwortgenerator auf einem Server ist ein Server, der dein Passwort kennt; ein JWT-Dekodierer auf einem Server ist ein Server, der dein Sitzungstoken gesehen hat. Alles in dieser Kategorie läuft in deinem Browser: Hashes über die Krypto-API deines Systems, Tokens werden im Speicher zerlegt, Zufallswerte kommen aus dem kryptografisch sicheren Generator deines Geräts. Nichts wird gesendet und nichts protokolliert.
Werkzeuge in dieser Kategorie
16Über diese Werkzeuge
Hashen ist nicht verschlüsseln
Ein Hash ist eine Einwegfunktion: dieselbe Eingabe ergibt immer dieselbe Ausgabe, aber aus der Ausgabe lässt sich die Eingabe nicht zurückrechnen. Deshalb prüft man damit, ob eine Datei unterwegs unverändert blieb, und deshalb ist "einen Hash entschlüsseln" keine Sache, die es gibt. Verschlüsselung ist umkehrbar und braucht einen Schlüssel; wenn du deine Daten zurückbekommen musst, brauchst du Verschlüsselung und keinen Hash.
Ein JWT zu dekodieren prüft ihn nicht
Die ersten zwei Teile eines JSON Web Token sind nur Base64 — jeder kann sie lesen, ohne einen Schlüssel zu besitzen. Der Dekodierer zeigt dir also Kopf und Nutzdaten samt Ablaufzeit und Ansprüchen, und das reicht für die Fehlersuche völlig aus. Die Signatur zu prüfen braucht das Geheimnis, was der Server tun muss und ein Browserwerkzeug nicht kann. Lege deshalb nie etwas Geheimes in die Nutzdaten: sie sind kodiert, nicht verborgen.
Länge schlägt Sonderzeichen
Ein Passwort mit vier gewürfelten Wörtern ist schwerer zu erraten als eines mit acht Zeichen voller Symbole, und du kannst es dir tatsächlich merken. Was zählt, ist die Größe des Raumes, aus dem gezogen wurde, und dass wirklich zufällig gezogen wurde. Vom Menschen gewählte Ersetzungen wie Null statt O sind in jeder Angriffsliste enthalten und kosten einen Angreifer nichts.