CheatSheetSeries Issue #2083 — JWTチートシートの書き換え

概要

Java固有のJWTチートシート (629行) を、言語非依存のセキュリティガイド (164行) に書き換える PR。

詳細

変更内容:

• Java コード例と Java POC プロジェクトへの参照を全て削除
• 8つの脆弱性カテゴリに再構成:
  1. アルゴリズム混同 (alg: none, RS256→HS256)
  2. 脆弱な署名シークレット (オフライン HMAC ブルートフォース)
  3. クレーム検証の欠如 (exp, nbf, iat, iss, aud, sub)
  4. 未暗号化ペイロードの機密データ (JWE/AES-GCM)
  5. 安全でないクライアントサイド保存 (localStorage vs memory/closures)
  6. トークンサイドジャッキング (cookie フィンガープリント + SHA-256)
  7. トークン取り消しの欠如 (jti denylist, refresh token rotation)
  8. ヘッダインジェクション (kid, jku, x5u — SQLi, パストラバーサル, SSRF)

追加:

• ベストプラクティスサマリー (8ルール)
• 参考文献 (RFC 7519/7515/7516/8725, PortSwigger, jwt.io, Auth0 CVE, JWT Attack Playbook)

セキュリティ影響

• カテゴリ: Authentication / Token Security
• 重要度: High — JWT は現代Web認証の中核技術
• 影響範囲: 全言語/フレームワークのJWT実装

URL

https://github.com/OWASP/CheatSheetSeries/pull/2083