Apie JWT slaptojo rakto generatorių

Viskas prasidėjo nuo paprasto nusivylimo. 2023 metais vėlai vakare savaitgalį dirbau prie projekto – nedidelės autentifikacijos paslaugos, kuriai reikėjo JWT žetonų. Kaip ir daugumai kūrėjų, man reikėjo greitai sugeneruoti saugų slaptąjį raktą. Tai, ką radau internete, buvo nuvilianti: įrankiai, pilni reklamų, įtartina privatumo politika arba dar blogiau – paslaugos, kurios reikalavo el. pašto registracijos tik tam, kad sugeneruotų atsitiktinę eilutę.

Atsimenu pagalvojęs: „Tai neturėtų būti taip sudėtinga". Todėl tą sekmadienio popietę praleidau kurdamas tai, ko norėjau – švarų, paprastą įrankį, kuris tiesiog veikia. Jokios registracijos. Jokio sekimo. Jokių nesąmonių. Tik grynasis kriptografinis atsitiktinumas, sugeneruotas tiesiai jūsų naršyklėje naudojant Web Crypto API.

Patalpinau tai internete, pasidalinau keliuose kūrėjų forumuose ir, atvirai kalbant, pamiršau apie tai. Po dviejų mėnesių iš smalsumo patikriau analitiką. Jį naudojo 10 000 kūrėjų. Paskui 50 000. Tada šimtai tūkstančių. Pradėjo plūsti pranešimai – kūrėjai iš startuolių Bangalore, saugumo komandos bankuose Londone, studentai, mokantys autentifikacijos San Paule. Visi dalijosi tuo pačiu jausmu: „Pagaliau įrankis, kuris gerbia kūrėjus."

Tada supratau, kad tai jau nebe savaitgalio projektas. Jis užpildė tikrą spragą. Todėl įsipareigojau išlaikyti jį nemokamą, greitą ir sąžiningą – amžinai.

Kaip patys kūrėjai suprantame įrankių, kurie per daug žada ir per mažai įvykdo, nusivylimą. Buvome nusivylę „nemokamų" įrankių, kurie staiga reikalauja mokėjimo, privatumo politikos, kuri pasikeičia per naktį, ir paslaugų, kurios išnyksta, kai jų labiausiai reikia.

Štai kodėl duodame šiuos pažadus:

• Pirmenybė privatumui: Jūsų raktai niekada nebus užregistruoti, saugomi ar perduoti į jokį serverį. Tai neginčijama.
• Amžinai nemokama: Šis įrankis išliks visiškai nemokamas. Jokių premium pakopų, jokių funkcijų užraktų, jokių paslėptų išlaidų.
• Jokių staigmenų: Staiga nepridėsime sekimo, nepakeisime privatumo politikos ir nepradėsime rodyti reklamų. Tai, ką matote, yra tai, ką gaunate.
• Nuolatinis tobulinimas: Reguliariai atnaujiname įrankį su saugumo pataisymais, našumo patobulinimais ir vartotojų prašomais funkcijomis.
• Palankus kūrėjams: Klausomės atsiliepimų. Jei kažkas jus erzina ar galėtų veikti geriau, norime apie tai išgirsti.
• Švietimo orientacija: Teikiame išsamius vadovus ir geriausias praktikas, nes informuoti kūrėjai kuria saugesnes programas.

Tai nėra rinkodaros pažadai – tai pagrindiniai principai, kuriais gyvename. Kai daugiau nei 850 000 kūrėjų mums patiki savo saugumo poreikius, šią atsakomybę prisiimame rimtai.

Tikime, kad reikia išlaikyti dalykus paprastus. Mūsų įrankis naudoja Web Crypto API crypto.getRandomValues() metodą, kuris pasinaudoja jūsų operacinės sistemos kriptografiškai saugiu pseudoatsitiktinių skaičių generatoriumi (CSPRNG). Tai ta pati technologija, kuria pasitiki naršyklės, bankai ir saugumo sistemos visame pasaulyje.

Mes neišrandame rato iš naujo. Nenaudojame nuosavybės algoritmų. Laikomės nustatytų standartų, tokių kaip NIST SP 800-90A, nes jie buvo kruopščiai patikrinti kriptografų, daug protingesnių už mus.

Visas įrankis sukurtas naudojant paprastą JavaScript – jokių sunkių karkasų, jokių nereikalingų priklausomybių. Tai išlaiko kodo bazę lieknąją, patikrintą ir greitą. Kiekviena kodo eilutė atlieka tikslą, ir niekas nėra paslėpta ar paslėpta.

Mūsų infrastruktūra yra sąmoningai paprasta: statinis talpinimas su pasauliniu CDN paskirstymu. Tai suteikia jums mažiau nei sekundės įkėlimo laiką iš bet kurios pasaulio vietos ir 99,99 % veikimo laiką. Jokia sudėtinga užpakalinė dalis nereiškia jokių užpakalinės dalies pažeidžiamumų.