--- id: CP-195 slug: jwt-json-web-token-firma-insidie lang: it title: JSON Web Token (JWT) description: Un JWT è il documento digitale che un'applicazione le consegna dopo l'accesso. Cosa verifica la firma, le insidie e i comportamenti da adottare. canonical_url: https://startbrain.io/cyberpedia/it/articles/jwt-json-web-token-firma-insidie/ markdown_url: https://startbrain.io/cyberpedia/it/articles/jwt-json-web-token-firma-insidie.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «JSON Web Token (JWT)», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/jwt-json-web-token-firma-insidie/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-027 schema: G3 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/jwt-json-web-token-firma-insidie/ fr: https://startbrain.io/cyberpedia/fr/articles/jwt-json-web-token-signature-pieges/ en: https://startbrain.io/cyberpedia/en/articles/jwt-json-web-token-signature-pitfalls/ de: https://startbrain.io/cyberpedia/de/articles/jwt-json-web-token-signatur-fallstricke/ es: https://startbrain.io/cyberpedia/es/articles/jwt-json-web-token-firma-trampas/ nl: https://startbrain.io/cyberpedia/nl/articles/jwt-json-web-token-handtekening-valkuilen/ sources: - "n": 1 title: Tokens and claims overview - Microsoft identity platform publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity-platform/security-tokens published: "2025-03-21" accessed: "2026-11-03" - "n": 2 title: "Use Alternate Authentication Material: Application Access Token, Sub-technique T1550.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1550/001/ accessed: "2026-11-03" - "n": 3 title: Access tokens in the Microsoft identity platform - Microsoft identity platform publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity-platform/access-tokens published: "2025-05-14" accessed: "2026-11-03" - "n": 4 title: Steal Application Access Token, Technique T1528 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1528/ accessed: "2026-11-03" - "n": 5 title: Authentication - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Authentication_Cheat_Sheet.html accessed: "2026-11-03" - "n": 6 title: Session Management - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Session_Management_Cheat_Sheet.html accessed: "2026-11-03" - "n": 7 title: Steal Web Session Cookie, Technique T1539 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1539/ accessed: "2026-11-03" --- # JSON Web Token (JWT) Dopo l'accesso a un'applicazione aziendale, questa Le consegna un documento digitale che il browser o l'applicazione presenta poi a ogni richiesta. In Microsoft questo documento ha la forma di un JSON Web Token, o JWT, che contiene dei «claim», cioè dichiarazioni sull'utente o sull'applicazione [1]. Un JWT può essere decodificato, per esempio con il sito jwt.ms, e la sua firma serve a verificare l'autenticità del token [3]. Questa scheda presenta i comportamenti del dipendente e quelli del responsabile. ## In 30 secondi - Dove succede: con la piattaforma di identità Microsoft, che autentica gli utenti e fornisce token di accesso, di aggiornamento e di identità [1]. - Cosa vuole l'attaccante: rubare un token valido per agire con i diritti del suo titolare, senza conoscere la password [2]. - Il riflesso: non inviare né pubblicare mai un token o un indirizzo che ne contenga uno, disconnettersi dopo l'uso e segnalare qualsiasi comportamento anomalo. - Se è già successo: disconnettersi, poi avvisare il servizio informatico. OWASP ricorda che eliminare un cookie non basta: «deleting a cookie alone does not invalidate a stolen copy of the session ID», ed è necessaria l'invalidazione lato server [6]. Il riflesso: non inviare né pubblicare mai un token o un indirizzo che ne contenga uno, disconnettersi dopo l'uso e segnalare qualsiasi comportamento anomalo. ## Domande dirette ### Che cos'è un JWT? Un JWT è composto da tre segmenti separati da un punto: l'intestazione, il corpo e la firma [3]. Il corpo contiene i claim. La firma serve a valutare l'autenticità del token [3]. ### La firma impedisce di leggere il token? La firma serve a verificare l'autenticità del token. Microsoft indica che gli sviluppatori possono decodificare un JWT con un sito come jwt.ms, a fini di convalida e di debug [3]. Il token è sensibile e presenta un rischio per la sicurezza se viene gestito male [3]. ### Un token rubato permette davvero di agire al mio posto? Sì. MITRE descrive avversari che usano token di accesso rubati per aggirare il normale processo di autenticazione e accedere ad account, informazioni o servizi. Questi token sono usati al posto delle credenziali di accesso [2]. ### Un token rubato resta valido a lungo? Dipende dalla sua durata. Per i token di accesso Microsoft, la durata predefinita è un valore casuale compreso tra 60 e 90 minuti, 75 minuti in media [3]. I tenant senza accesso condizionale hanno una durata predefinita di due ore per client come Microsoft Teams e Microsoft 365 [3]. MITRE osserva però che l'avversario può talvolta rubare anche un token di aggiornamento, che gli consente di ottenere nuovi token di accesso senza coinvolgere l'utente [4]. ## Come funziona Il server di autorizzazione firma il token con una chiave privata e pubblica la chiave pubblica corrispondente. Per convalidare un token, l'applicazione verifica la firma con questa chiave pubblica [1]. L'intestazione del JWT indica l'algoritmo di firma (claim `alg`) e la chiave pubblica da usare (claim `kid`) [3]. Microsoft Entra ID emette token firmati con algoritmi asimmetrici standard, come RS256 [3]. Il token di accesso viene trasmesso a un'API come token «bearer» nell'intestazione Authorization [1]. Poiché i token hanno una validità limitata, il server fornisce spesso una coppia: un token di accesso e un token di aggiornamento, che serve a rinnovare il primo quando si avvicina alla scadenza [1]. Il token di aggiornamento fornisce un nuovo token di accesso solo se l'utente è ancora autorizzato [1]. Nel caso di OpenID Connect, l'ID Token è un JWT firmato che permette a un'applicazione di verificare l'identità dell'utente [5]. ## Cosa fa Lei Come dipendente: - Non invii mai un token, né un indirizzo web che ne contenga uno, in un messaggio, in un ticket o in un forum. Gli identificatori di sessione inseriti in un indirizzo possono ritrovarsi nei link, nei registri, nella cronologia del browser, nei segnalibri, nell'intestazione Referer o nei motori di ricerca [6]. - Si disconnetta quando ha finito. Un'applicazione deve offrire un pulsante di disconnessione visibile e accessibile, in modo che l'utente possa chiudere la propria sessione in qualsiasi momento [6]. - Non faccia affidamento sulla chiusura del browser: non permette di imporre una disconnessione in modo affidabile, in particolare su dispositivi mobili [6]. - Segnali un comportamento anomalo (disconnessioni inattese, azioni che non ha compiuto, richiesta di autorizzare un'applicazione sconosciuta). MITRE descrive attaccanti che fanno concedere l'accesso a un'applicazione malevola inviando un link di phishing mirato [4]. Come responsabile, da esigere dai team e dai fornitori: - La convalida della firma e dell'emittente da parte dell'applicazione che riceve il token, con i valori pubblicati nel documento di discovery OpenID [3]. - Il controllo dell'audience: un'API deve accettare solo i token il cui claim `aud` corrisponde a essa. Accettare un token destinato a un'altra risorsa è un esempio del problema del «confused deputy» [3]. - Librerie collaudate invece di codice interno. Microsoft raccomanda le proprie librerie MSAL, che gestiscono l'acquisizione, l'aggiornamento e la convalida dei token [1]. - Durate di sessione limitate. OWASP cita come intervalli comuni di timeout per inattività da 2 a 5 minuti per le applicazioni di alto valore e da 15 a 30 minuti per quelle a basso rischio, e chiede anche un timeout assoluto a prescindere dall'attività [6]. - Una conservazione prudente lato browser (vedere la sezione seguente). ## Le insidie MITRE indica che i token rubati sono «used in lieu of login credentials», cioè usati al posto delle credenziali di accesso [2]. MITRE osserva che i cookie di sessione possono aggirare alcuni protocolli di autenticazione a più fattori [7]. Nelle fonti ricorrono diversi errori di implementazione. - La conservazione nel browser. OWASP sconsiglia di conservare token di autenticazione, identificatori di sessione, JWT o token di aggiornamento in localStorage o sessionStorage: questi spazi sono accessibili a qualsiasi JavaScript eseguito nell'origine, per cui una sola falla XSS rivela tutti i token [6]. OWASP preferisce i cookie HttpOnly, Secure e SameSite=Strict, oppure un modello di tipo Backend-for-Frontend [6]. - Il token nell'indirizzo. Un identificatore trasmesso nell'URL può trapelare e facilitare altri attacchi, come la fissazione di sessione [6]. - Una convalida fatta nel posto sbagliato. Secondo Microsoft, un client non deve cercare di convalidare un token di accesso: spetta all'API farlo, e il client lo tratta come una stringa opaca [3]. - La fiducia nel contenuto senza verificare la firma. Un'applicazione che deve convalidare un token comincia verificando la firma e l'emittente [3]. - Token sottratti nell'infrastruttura. In ambienti Kubernetes o nelle catene di integrazione e distribuzione continue, i token di API possono essere rubati se il container o la catena è compromesso [4]. - Il furto di sessione tramite uno script malevolo o un proxy di phishing. MITRE cita malware che prendono di mira i cookie del browser e strumenti liberi come Evilginx2 e Muraena che raccolgono cookie tramite un proxy malevolo [7]. Le fonti citate qui non descrivono altri errori di progettazione citati di frequente, come l'algoritmo «none», la confusione tra chiavi o i segreti deboli. Questo punto va fatto verificare dai team di sviluppo con i propri riferimenti. ## Fonti 1. Microsoft, «Tokens and claims overview - Microsoft identity platform», 21 marzo 2025. https://learn.microsoft.com/en-us/entra/identity-platform/security-tokens (consultato il 3 novembre 2026) 2. MITRE ATT&CK, «Use Alternate Authentication Material: Application Access Token, Sub-technique T1550.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1550/001/ (consultato il 3 novembre 2026) 3. Microsoft, «Access tokens in the Microsoft identity platform - Microsoft identity platform», 14 maggio 2025. https://learn.microsoft.com/en-us/entra/identity-platform/access-tokens (consultato il 3 novembre 2026) 4. MITRE ATT&CK, «Steal Application Access Token, Technique T1528 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1528/ (consultato il 3 novembre 2026) 5. OWASP, «Authentication - OWASP Cheat Sheet Series». https://cheatsheetseries.owasp.org/cheatsheets/Authentication_Cheat_Sheet.html (consultato il 3 novembre 2026) 6. OWASP, «Session Management - OWASP Cheat Sheet Series». https://cheatsheetseries.owasp.org/cheatsheets/Session_Management_Cheat_Sheet.html (consultato il 3 novembre 2026) 7. MITRE ATT&CK, «Steal Web Session Cookie, Technique T1539 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1539/ (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/jwt-json-web-token-firma-insidie/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.