OAuth-2.0-/OIDC-Autorisierungscode-mit-PKCE-Ablaufvisualisierer

OAuth-2.0-/OIDC-Autorisierungscode-mit-PKCE-Ablaufvisualisierer | Kostenloses Online-Tool | Elysia Tools

Leitfaden zur Tool-Nutzung

Erfahren Sie, wann dieses Tool passt, was es unterstützt und wie Nutzer es anwenden.

Wichtige Fakten

Kategorie: Development
Eingabetypen: select, text, checkbox
Ausgabetyp: html
Sample-Abdeckung: 4
API bereit: Ja

Überblick

Der OAuth-2.0- und OIDC-Ablaufvisualisierer simuliert den vollständigen Autorisierungscode-Flow mit PKCE (Proof Key for Code Exchange) direkt im Browser. Er berechnet die S256- oder Plain-Code-Challenges gemäß RFC 7636, baut die Autorisierungs- und Token-Request-Payloads auf, prüft ID-Tokens anhand der OIDC-Core-§3.1.3.7-Kriterien inklusive at_hash und demonstriert anschaulich die Sicherheitsauswirkungen bei fehlendem PKCE-Schutz.

Wann verwenden

Wenn Sie den Ablauf von PKCE (RFC 7636) und OpenID Connect für Single-Page-Apps oder native Clients Schritt für Schritt nachvollziehen möchten.
Wenn Sie Parameter wie code_challenge, state, nonce oder at_hash vor der Implementierung in Ihrer Anwendung spezifikationskonform prüfen wollen.
Wenn Sie in Schulungen oder Sicherheitsanalysen demonstrieren möchten, wie PKCE das Abfangen von Autorisierungscodes im Front-Channel verhindert.

So funktioniert es

1Wählen Sie die PKCE-Variante (S256, Plain oder ohne PKCE) und geben Sie optionale Parameter wie Issuer-URL, Client-ID, Redirect-URI, Scopes und den code_verifier ein.
2Der Simulator berechnet offline die Code-Challenge per SHA-256 und Base64URL-Codierung, generiert die Autorisierungs-URL und stellt den HTTP-Token-Austausch dar.
3Das System dekodiert das erzeugte HS256-ID-Token, führt eine 9-Punkte-Validierungsprüfung (u. a. aud, iss, nonce, at_hash) durch und visualisiert bei aktivierter Option den Verlauf eines Code-Abfangangriffs.

Anwendungsfälle

Entwicklung und Debugging von OAuth-2.0-/OIDC-Client-Bibliotheken ohne eigenen Mock-Server.
Schulung von Entwicklungs- und Security-Teams zum Schutz vor Authorization Code Interception Attacks.
Verifikation von Token-Strukturen, Claims und at_hash-Berechnungen nach OpenID-Connect-Standard.

Beispiele

1. Standard-PKCE-Ablauf mit S256

Frontend-Entwickler

Hintergrund

Entwicklung einer Single-Page-Anwendung mit Anbindung an einen OpenID-Connect-Provider.

Aufgabe

Überprüfung, ob die S256-Challenge-Generierung und die Callback-Parameter den Spezifikationen von RFC 7636 entsprechen.

Verwendung

Wählen Sie 'PKCE S256', belassen Sie den Standard-Verifier aus RFC 7636 Anhang B und führen Sie die Simulation aus.

flowVariant: 's256', issuer: 'http://127.0.0.1:8443', clientId: 'spa-demo-client', redirectUri: 'http://127.0.0.1:8080/callback', scope: 'openid profile email'

Ergebnis

Vollständige Anzeige aller 9 Ablaufschritte, der Autorisierungs-URL mit Challenge, des Token-Requests und einer vollständig bestandenen ID-Token-Prüfliste.

2. Demonstration eines Code-Abfangangriffs

Security-Trainer

Hintergrund

Vorbereitung eines Workshops über typische Schwachstellen im OAuth-2.0-Autorisierungscode-Verfahren auf mobilen Geräten.

Aufgabe

Anschauliche Demonstration, warum reine Autorisierungscodes ohne PKCE für Angreifer im Front-Channel verwundbar sind.

Verwendung

FAQ

Führt der Visualisierer echte Netzwerkaufrufe zu Identity-Providern durch?

Nein, alle Berechnungen, Token-Generierungen und Prüfungen laufen vollständig offline im Simulator mit einer festen Demo-Uhr.

Wie wird die PKCE S256 Code-Challenge berechnet?

Der code_verifier wird mittels SHA-256 gehasht und anschließend als Base64URL ohne Padding kodiert (RFC 7636).

Welche Kriterien umfasst die ID-Token-Checkliste?

Geprüft werden gemäß OIDC Core §3.1.3.7 die Felder iss, aud, azp, alg, Signatur, exp, iat, nonce sowie der Hash des Access-Tokens (at_hash).

Was zeigt die Angriffs-Simulation?

Sie verdeutlicht, wie ein Angreifer ohne PKCE einen abgefangenen Code einlösen kann und wie S256 denselben Angriff am Token-Endpunkt blockiert.

Welche Anforderungen gelten für den code_verifier?

Er muss aus 43 bis 128 unreservierten Zeichen ([A-Z], [a-z], [0-9], '-', '.', '_', '~') bestehen.

flowVariant: 'none', simulateAttack: true, clientId: 'spa-demo-client', redirectUri: 'http://127.0.0.1:8080/callback', scope: 'openid'

Wobei dieses Tool hilft

Dieses Tool ausführen

Beispiele zu diesem Tool

Mit verwandten Tools und Themen fortfahren

Erfahren Sie, wann dieses Tool passt, was es unterstützt und wie Nutzer es anwenden.

Wichtige Fakten

Überblick

Wann verwenden

So funktioniert es

Anwendungsfälle

Beispiele

1. Standard-PKCE-Ablauf mit S256

2. Demonstration eines Code-Abfangangriffs

FAQ

Code-Kommentar-Beispiele

OAuth 2.0 & OpenID Connect Beispiele

QR-Code-Beispiele

OAuth 2.0 Beispiele

PKCE Code Verifier & Challenge Generator

BIP39-Mnemonik-Generator

Hash-Algorithmus-Vergleich

Kakuro-/Fillomino-/Masyu-/Yajilin-/Hashiwokakero-/Nurikabe-/Slitherlink-/Star-Battle-Puzzle-Generator mit Eindeutigkeits-Beweis