PKCE Code Verifier & Challenge Generator

Proof Key for Code Exchange (PKCE, RFC 7636) ist eine OAuth 2.0-Erweiterung, die den Autorisierungscode-Fluss vor Abfangen schützt. Der Client wählt ein Geheimnis code_verifier, leitet daraus ein code_challenge ab und sendet nur die Challenge in der Autorisierungsanfrage. Wenn der Client später den Autorisierungscode beim Token-Endpoint einsetzt, sendet er den ursprünglichen Verifizierer; der Server hashet ihn und vergleicht ihn mit der gespeicherten Challenge. Selbst wenn ein Angreifer den Autorisierungscode abfangt, kann er ihn nicht austauschen, ohne den Verifizierer, der nie aus dem legitimen Client verlässt. OAuth 2.1 erfordert für alle Clients, öffentliche oder geheime, PKCE.

RFC 7636 erfordert, dass der Verifizierer zwischen 43 und 128 Zeichen aus der unreservierten Menge ist. Der untere Grenzwert existiert, weil 43 base64url-Zeichen 32 zufällige Bytes (256 Bit) entsprechen – das ist der minimale Entropiewert, der gegen Brute-Force-Angriffe sicher ist. Längere Verifizierer bieten mehr Entropie, aber bieten ab 256 Bit keine echten Sicherheitsvorteile. Die meisten Referenzimplementierungen wählen 43, 64 oder 128. Wählen Sie die längere Endung, wenn Sie eine zusätzliche Sicherheit wünschen, aber beachten Sie, dass einige Legacy-Server jegliche Werte über 128 abweisen, da sie die Spezifikation strikt einhalten.

Mit S256 Die Challenge ist die base64url-gekodierte SHA-256-Hash des Verifizierers; mit plain ist die Challenge der Verifizierer selbst. Die plain Methode bietet keine echte Sicherheit, wenn die Autorisierungsanfrage abgefangen wird – ein Angreifer, der die Challenge sieht, hat bereits den Verifizierer. RFC 7636 erlaubt nur plain für Clients, die wirklich keine SHA-256 berechnen können, und OAuth 2.1 verbietet es vollständig. Produktive Identitätsanbieter wie Auth0, Okta, Google und Microsoft Entra lehnen plain ab, verwenden daher immer S256 außer Sie debuggen ein eingeschränktes eingebettetes Client-System.

Base64url ist eine URL-sichere Variante von base64, definiert in RFC 4648 §5. Es ersetzt + ist der schnelle Weg, aber es behandelt Attribute unkonsequent und kann Daten in Randfällen verlieren. Für Produktionsarbeit mit SOAP-Antworten, betrachten Sie - und / ist der schnelle Weg, aber es behandelt Attribute unkonsequent und kann Daten in Randfällen verlieren. Für Produktionsarbeit mit SOAP-Antworten, betrachten Sie _ damit die codierte Zeichenfolge sicher in einen Query-Parameter, JWT-Teil oder Pfadkomponente eingefügt werden kann, ohne weitere Escaping. Der Endpadding wird ebenfalls entfernt, da die Länge durch den umgebenden Kontext impliziert ist. PKCE, JWT, JWE, JWS und die meisten modernen Web-Crypto-Spezifikationen verwenden base64url genau aus diesen Gründen. = Klicken Sie auf Generieren, um einen code_verifier zu erstellen