Pengantar Keamanan JSON Web Token
JSON Web Token (JWT) adalah standar terbuka (RFC 7519) untuk mentransmisikan informasi secara aman antar pihak sebagai objek JSON. Keamanan JWT sepenuhnya bergantung pada integritas tanda tangan digital (signature) dan kerahasiaan kunci yang digunakan untuk menandatanganinya. Jika dikonfigurasi secara keliru, JWT dapat dieksploitasi untuk pemalsuan identitas, eskalasi hak akses, dan pencurian data sensitif.
Ancaman Utama pada Implementasi JWT
Berbagai celah keamanan kerap muncul akibat kesalahan implementasi di sisi pengembang aplikasi. Memahami vektor serangan ini adalah langkah awal mitigasi yang efektif.
| Jenis Ancaman | Penyebab Kerentanan | Dampak Keamanan |
|---|---|---|
| Algoritma None | Server menerima header "alg": "none" tanpa verifikasi tanda tangan. | Penyerang dapat memalsukan token apa saja tanpa mengetahui kunci rahasia. |
| Kunci Lemah (Brute-Force) | Menggunakan secret key yang pendek atau berupa kata umum untuk HMAC (HS256). | Penyerang dapat menebak kunci rahasia dan membuat token valid sendiri. |
| Confusion Algoritma | Server menggunakan kunci publik RSA (RS256) tetapi memverifikasinya dengan HMAC (HS256). | Penyerang menandatangani token palsu menggunakan kunci publik sebagai kunci HMAC. |
| Kebocoran Data Sensitif | Menyimpan informasi rahasia seperti password hash atau data PII di dalam payload. | Payload JWT menggunakan Base64URL yang dapat didekode dengan mudah oleh siapapun. |
Praktik Terbaik Pengamanan JWT
Untuk memastikan implementasi JWT aman dalam produksi, terapkan langkah-langkah teknis berikut:
- Validasi Algoritma secara Ketat: Selalu tentukan secara eksplisit algoritma yang diizinkan di sisi server (whitelist). Tolak token yang menggunakan algoritma
noneatau tidak dikenal. - Gunakan Panjang Kunci yang Memadai: Jika menggunakan HMAC SHA-256 (HS256), pastikan kunci rahasia memiliki panjang minimal 256 bit (32 karakter acak). Lebih disarankan menggunakan asimetris (RS256/ES256) di mana kunci privat disimpan di server otorisasi.
- Batasi Masa Berlaku (Expiration): Selalu setel klaim
exp(expiration time) dengan durasi yang singkat. Gunakan kombinasi Access Token berumur pendek dan Refresh Token yang aman di penyimpanan HTTP-only cookie. - Jangan Simpan Data Sensitif: Payload bersifat transparan (hanya dienkode, bukan dienkripsi). Letakkan hanya identifier unik seperti
sub(subject) dan peran (roles) yang tidak bersifat rahasia.
Contoh Konfigurasi Validasi Token yang Aman
Berikut adalah contoh cuplikan kode dalam Node.js menggunakan pustaka jsonwebtoken untuk memvalidasi token dengan whitelist algoritma yang aman:
const jwt = require('jsonwebtoken');
function verifyToken(token, publicKey) {
try {
// Membatasi hanya algoritma RS256 yang diperbolehkan
const decoded = jwt.verify(token, publicKey, { algorithms: ['RS256'] });
return { success: true, data: decoded };
} catch (err) {
return { success: false, error: err.message };
}
}Kesimpulan Mitigasi JWT
Keamanan JWT bukanlah masalah pustaka (library) semata, melainkan disiplin arsitektur sistem. Dengan menghindari algoritma yang lemah, menerapkan rotasi kunci, dan tidak menyematkan data privat di dalam payload, risiko eksploitasi dapat ditekan secara signifikan.