Инструментальная проверка подделки подписей токенов, подмены алгоритма и уязвимостей перенаправления
Злоумышленник меняет заголовок сессионного маркера, отключая проверку криптографической подписи, либо перехватывает код авторизации через подставной адрес возврата. Испытатель проверяет строгость разбора подписи на учебных маркерах, блокирует подгрузку внешних ключей до сокета и в автоматическом режиме выпускает правило фиксации алгоритма.
Ошибки проверки подлинности в современных прикладных интерфейсах возникают из-за некорректного разбора подписанных маркеров сессии и параметров перенаправления при едином входе. Типовые просчёты включают приём маркеров с отключённой в заголовке подписью, сверку симметричного кода аутентификации открытым асимметричным ключом, загрузку проверочных сертификатов по произвольной ссылке из заголовка и передачу кода доступа на непроверенный адрес возврата.
Силовику и руководителю (без жаргона): Перехват «Forge unsigned alg:none token, inject external jku key URL, or downgrade RS256 to HS256 using public key bytes» до сокета (0 вреда рабочей базе, готовая печать ГОСТ)
Техническому проверяющему (улика): Норма ГОСТ Р 56939-2024 §5.5.2; Приказ ФСТЭК России от 11.04.2025 № 117 п. 42 | Фильтр SEC-ZD-V2-01 | Свидетель 7a14f903e2c81b52
Технократу, CTO и VC (математика): Инвариант Z3 (assert (and (= (jwt_alg token) RS256_OR_GOST3410) (valid_... | FP = 0,0% | Правило IMMUNE-JWT-7A14F903 (mcp-sentinel 1.1.2)1. Схема перехвата на проводе и выпуска контракта для API-JWT-01
Инструментальный цикл проверки по классу API-JWT-01 (OWASP API2:2023 / WSTG-ATHN-10, MITRE T1550.001 / CWE-347): блокировка опасной мутации правилом SEC-ZD-V2-01 до сокета, фиксация свидетеля 7a14f903e2c81b52 и выпуск контракта IMMUNE-JWT-7A14F903 для шлюза mcp-sentinel.
2. Фильтр нулевого ущерба и формальный инвариант решателя для API-JWT-01
По правилу SEC-ZD-V2-01 программный фильтр на проводе проводит все проверки исключительно на синтетических учётных записях стенда и перехватывает любые исходящие обращения по внешним ссылкам из заголовков маркера до открытия сетевого соединения. Попытки сбросить рабочие сессии клиентов или изменить настройки службы каталогов блокируются внутри процесса испытателя.
На испытательном стенде анализатор сопоставляет реакцию проверяемого узла на маркеры с изменённым заголовком алгоритма и поведение эталонного обработчика, жёстко фиксирующего список разрешённых ключей. Подтверждённый приём поддельного маркера фиксируется свидетелем 7a14f903e2c81b52 при полном отсутствии ложных срабатываний на исправных шлюзах.
Код класса: API-JWT-01 (jwt_oauth_auth_bypass)
Международные матрицы: OWASP API2:2023 / WSTG-ATHN-10 | MITRE T1550.001 / CWE-347
Нормативная привязка: ГОСТ Р 56939-2024 §5.5.2; Приказ ФСТЭК России от 11.04.2025 № 117 п. 42
Режим проверки: Активное безопасное зондирование (AUTO_SCAN)
Проверочный зонд: GET /api/v1/profile Authorization: Bearer eyJhbGciOiJub25lIiwidHlwIjoiSldUIn0.eyJzdWIiOiJhZG1pbiIsInJvbGUiOiJzdXBlcnVzZXIifQ.
Перехваченная мутация: Forge unsigned alg:none token, inject external jku key URL, or downgrade RS256 to HS256 using public key bytes
Инвариант решателя Z3: (assert (and (= (jwt_alg token) RS256_OR_GOST3410) (valid_sig token pinned_jwk) (= (iss token) trusted_iss) (> (exp token) now)))
Правило фильтра: SEC-ZD-V2-01
Хэш свидетеля: 7a14f903e2c81b52
Скомпилированный фильтр: IMMUNE-JWT-7A14F903 (mcp-sentinel 1.1.2)3. Автоматический выпуск защитного контракта IMMUNE-JWT-7A14F903 и квитанция ГОСТ Р 34.11-2012
На основании свидетеля 7a14f903e2c81b52 компилятор в автоматическом режиме формирует защитный контракт IMMUNE-JWT-7A14F903 для перехватчика mcp-sentinel. Правило принудительно закрепляет допустимый алгоритм подписи, отсекает заголовки с внешними адресами ключей и проверяет издателя, получателя и целостность маркера в памяти процесса.
4. Инженерные разъяснения по проверке и закрытию класса API-JWT-01
Защита от подмены асимметричного алгоритма подписи на симметричный код
Перехватчик жёстко связывает каждый проверочный ключ с единственным типом криптографического преобразования и мгновенно отклоняет маркер, если в его заголовке указана симметричная схема вместо ожидаемой асимметричной подписи.
Пресечение перехвата кода авторизации при внешнем перенаправлении
Сформированный контракт требует посимвольного совпадения адреса возврата с заранее зарегистрированным белым списком и обязательного предъявления проверочного кода обмена на шаге выдачи маркера.