Путь golang Intermediate 7 модулей 41 шаг (30 теор · 3 лаб · 8 квиз) ~5 ч 39 мин

JWT & Security Token в Go: Разоблачение магии

JWT — это популярно, но крайне опасно в неумелых руках. Изучите, как злоумышленники подделывают подписи (alg: none), взламывают слабые секреты и почему хранить токены в LocalStorage — это преступление уровня увольнения.

Модуль 1: Введение в JWT: Анатомия и 'alg: none'

0/6~28 мин

1
1. Анатомия JWT: Header, Payload, Signature
~5 мин
Разблокировать
2
2. Алгоритмы подписи (HMAC vs RSA/ECDSA)
~5 мин
Разблокировать
3
3. Анатомия уязвимости: 'alg': 'none'
~5 мин
Разблокировать
4
4. JWT vs Сессии: Когда что использовать
~5 мин
Разблокировать
5
5. Пять ошибок, которые делает каждый Go-разработчик с JWT
~5 мин
Разблокировать
6
6. Тест: Основы JWT
~3 мин
Разблокировать

Модуль 2: Атаки на JWT: Взлом и подделка

0/9~1 ч 38 мин

1
1. Брутфорс слабых секретных ключей
~5 мин
Разблокировать
2
2. Key Confusion: HMAC vs RSA
~5 мин
Разблокировать
3
3. Инъекции в заголовок 'kid'
~5 мин
Разблокировать
4
4. Обход через заголовки 'jku' и 'jwks'
~5 мин
Разблокировать
5
5. Валидация Claims: exp, iss, aud и другие
~5 мин
Разблокировать
6
6. Replay-атаки на JWT: Повторное использование украденных токенов
~5 мин
Разблокировать
EXP FIX
7. Практика: Подделка токена администратора
hard ~1 ч
Разблокировать
8
8. Защита от атаки alg:none: два подхода
~5 мин
Разблокировать
9
9. Тест: JWT Attacks Quiz
~3 мин
Разблокировать

Модуль 3: Безопасное хранение на фронтенде

0/4~18 мин

1
1. LocalStorage vs Cookies: Где смерть?
~5 мин
Разблокировать
2
2. HttpOnly, Secure и защита от CSRF
~5 мин
Разблокировать
3
3. Как XSS крадёт JWT: От localStorage до cookies
~5 мин
Разблокировать
4
4. Тест: JWT Storage Quiz
~3 мин
Разблокировать

Модуль 4: Жизненный цикл JWT: Refresh, Revocation, Микросервисы

0/6~28 мин

1
1. Refresh Tokens: Жизненный цикл
~5 мин
Разблокировать
2
2. Отзыв JWT: Blacklisting и Whitelisting
~5 мин
Разблокировать
3
3. Ротация JWT-ключей: Бесшовная замена без downtime
~5 мин
Разблокировать
4
4. Logout с JWT: Как «убить» stateless-токен
~5 мин
Разблокировать
5
5. JWT в микросервисах: Service-to-Service аутентификация
~5 мин
Разблокировать
6
6. Тест: JWT Lifecycle Quiz
~3 мин
Разблокировать

Модуль 5: Weak HMAC Secret

0/4~58 мин

1
1. Weak HMAC Secret: Брутфорс слабого секретного ключа JWT
~5 мин
Разблокировать
EXP FIX
2. Практика: Подбор JWT-секрета
medium ~45 мин
Разблокировать
3
3. Защита от брутфорса JWT-секретов: Сильные ключи, ротация и мониторинг
~5 мин
Разблокировать
4
4. Тест: Weak HMAC Secret
~3 мин
Разблокировать

Модуль 6: RS256→HS256 Key Confusion

0/5~1 ч 18 мин

1
1. RS256 to HS256 Key Confusion: Подпись публичным ключом как HMAC-секретом
~5 мин
Разблокировать
2
2. RSA-ключи для JWT: Генерация, хранение, JWKS
~5 мин
Разблокировать
EXP FIX
3. Практика: Подделка токена через Key Confusion
hard ~1 ч
Разблокировать
4
4. Защита от Key Confusion: Строгая валидация алгоритмов JWT в Go
~5 мин
Разблокировать
5
5. Тест: Key Confusion
~3 мин
Разблокировать

Модуль 7: Итоговый обзор и DevSecOps

0/7~31 мин финальный

1
1. Итоговый обзор: Полная карта атак на JWT
~5 мин
Разблокировать
2
2. Лучшие практики JWT в Go: Готовые паттерны
~5 мин
Разблокировать
3
3. Реальные CVE и инциденты с JWT: Уроки для Go-разработчиков
~5 мин
Разблокировать
4
4. Эшелонированная защита JWT: Defense-in-Depth
~5 мин
Разблокировать
5
5. Автоматическое обнаружение JWT-уязвимостей в CI/CD
~5 мин
Разблокировать
6
6. Итоговый тест: JWT Security
~3 мин
Разблокировать
7
7. Тест: DevSecOps Quiz: Автоматизация обнаружения
~3 мин
Разблокировать