Elysia Tools
Mobile Navigation
Workflow Playbook
Erstellen Sie bereinigte Auth-Fixtures, trennen Sie Token-Erzeugung von Dekodierung und Prüfung, testen Sie OTP/TOTP-Zeitverhalten und auditieren Sie JWT- und Sitzungshinweise ohne echte Geheimnisse offenzulegen.
Themen
Verwenden Sie diesen Workflow nur für eine eigene synthetische Fixture oder für ausdrücklich freigegebene Authentifizierungsdaten. Beschreiben Sie vorab den zu reproduzierenden Flow, erwartete Claims und Algorithmen, die feste Zeit oder den Zähler sowie die zuständige prüfende Person. Echte Access-Tokens, Refresh-Tokens, Cookies, gemeinsame Geheimnisse, private Schlüssel und Wiederherstellungscodes bleiben aus Tool und Bericht heraus.
Erstellen Sie mit secure-random-generator, nonce-generator und uuid-generator eine wegwerfbare Korrelations-ID und einen Nonce und prüfen Sie das Format. Verwenden Sie jwt-generator für synthetische Claims, die den Fehlerfall abdecken. Für MFA erzeugt otp-generator unabhängige Zahlencodes; totp-hotp-offline-generator ist für eine wegwerfbare Base32-Seed mit festem Zeitschritt oder Zähler gedacht. Notieren Sie die Sollwerte, damit ein Fehler reproduzierbar bleibt.
jwt-decoder und base64url-encoder zeigen, ob die Struktur interpretierbar ist und wie die Segmente kodiert sind, beweisen aber keine Authentizität. jwk-generator kann einen wegwerfbaren Schlüssel oder ein autorisiertes öffentliches JWK erzeugen oder prüfen; importieren Sie keinen privaten Produktionsschlüssel für einen lokalen Erfolg. Verwenden Sie hmac-generator-verifier und die unterstützten Signatur- oder Ablaufprüfungen von jwt-decoder-security-auditor nur mit kontrolliertem Material und klaren Erwartungen.
Prüfen Sie nach der Verifikation Algorithmus, Ablauf und Not-before, sensible Claims, Zeit- oder Zählerannahmen von TOTP/HOTP und die Verbindung zwischen Evidenz und Request- oder Session-ID. Dekodierung, passende Signatur und Sicherheitsbefund beantworten verschiedene Fragen und gehören in getrennte Felder.
Das Abschluss-Paket enthält Umfang, Fixture-Version, Korrelations-ID, Soll- und Ist-Ergebnis, maskierte Auszüge oder Fingerabdrücke, Restunsicherheit und die autorisierte nächste Aktion. Es darf kein wiederverwendbares Geheimnis und kein aktives Sitzungselement enthalten. Ein lokales Ergebnis hilft beim Debugging; nur ein autorisierter Anwendungstest kann das Verhalten des Servers feststellen.
Workflow-Leitfaden
Erzeugen Sie wegwerfbares Zufallsmaterial, einen Nonce- oder PKCE-bezogenen Wert und eine Korrelations-ID für Request oder Sitzung. Prüfen Sie das UUID-Format, trennen Sie die ursprüngliche Fixture von Logs und markieren Sie jeden Wert vor der Verwendung als reine Testdaten.
Erzeugen Sie mit jwt-generator ein synthetisches Token mit bewusst variierten Claims und anschließend entweder einen unabhängigen OTP oder einen RFC-konformen TOTP/HOTP-Wert aus einer wegwerfbaren Test-Seed. Halten Sie erwartete Claims, Zeitschritt, Zähler und Code bei der Fixture fest, nicht in einem Produktionslog.
Untersuchen Sie Header und Payload mit jwt-decoder und prüfen Sie die Darstellung von JWT- oder PKCE-Segmenten mit base64url-encoder. Verwenden Sie jwk-generator nur mit einem synthetischen Schlüssel oder autorisierten öffentlichen JWK und importieren Sie keinen privaten Schlüssel.
Erzeugen Sie frisches Testmaterial mit secure-random-generator, nonce-generator und uuid-generator. Bei einem autorisierten Mitschnitt behalten Sie nur den notwendigen bereinigten Wert und setzen Dekodierbarkeit nicht mit Vertrauenswürdigkeit gleich.
Wählen Sie otp-generator für einen unabhängigen Zahlencode, etwa eine SMS- oder E-Mail-Fixture. Wählen Sie totp-hotp-offline-generator, wenn eine gemeinsame Base32-Seed, ein Zeitschritt oder ein Zähler getestet wird, und verwenden Sie ausschließlich eine wegwerfbare Test-Seed.
jwt-decoder und base64url-encoder beschreiben Struktur und Kodierung. hmac-generator-verifier und die unterstützten Prüfungen von jwt-decoder-security-auditor testen eine bekannte Signatur oder Claim-Bedingung. Das abschließende Sicherheitsaudit bewertet Algorithmus, Ablauf, sensible Claims und den Umgang mit der Evidenz separat.
Vergleichen Sie mit hmac-generator-verifier eine bekannte Nachricht und ein Testgeheimnis und nutzen Sie jwt-decoder-security-auditor für die unterstützten HS256- oder RS256-Signatur- und Ablaufprüfungen. Bei vermuteter Zeitabweichung wiederholen Sie TOTP oder HOTP mit der notierten Zeit oder dem Zähler; lokale Übereinstimmung beweist keine Serverannahme.
Prüfen Sie Algorithmus, Ablauf- und Not-before-Verhalten, sensible Claims, Codefenster und Nachvollziehbarkeit separat. Speichern Sie nur bereinigte Metadaten, Ergebnisse, Fingerabdrücke oder gekürzte Auszüge, Korrelations-ID, Restunsicherheit und die autorisierte Aktion; löschen Sie Rohgeheimnisse und aktive Sitzungsdaten.