Escenario · auditar la validación de tokens de Brisamar

5 tareas · 55 min · Principiante

Otra organización y nadie te dice por dónde empezar. La Cooperativa Lácteos Brisamar te pide, el martes 6 de octubre de 2026, una opinión independiente sobre cómo valida los tokens su API de acopio, la que recibe los litros que reportan las fincas. Antes de abrirla a un segundo proveedor quieren saber si la validación se sostiene. Tienes la tabla de endpoints, la configuración del validador, la lista de revocados y el registro de la mañana. No hay pistas ni lista de pasos. Si el criterio del módulo es tuyo, aquí se transfiere: separas lo que está bien hecho a propósito de lo que se salta una comprobación, y redactas lo que la evidencia permite decir y nada más.

0 de 5 · 0%

Objetivo de la sala

Abre la tabla de endpoints y compara qué exige el validador en cada uno. Uno de ellos no pide token por diseño y no cuenta. De los que sí lo piden, uno no llega a comprobar la firma.

Responde para continuar

¿Qué ruta exige un token pero solo lo decodifica, sin comprobar su firma? Escríbela tal cual.

En el registro de validación hay un token que el validador aceptó en un endpoint cuya comprobación no incluye la audiencia. El token estaba dirigido a otro servicio de la cooperativa.

Responde para continuar

¿Qué audiencia ajena aceptó acopio-api en una validación? Escríbela tal cual.

Con la configuración del validador y el registro, cuenta cuántas validaciones se aceptaron cuando la hora de la validación ya era posterior a la caducidad del token. Ten en cuenta que ts y exp van en segundos desde 1970.

Responde para continuar

¿Cuántas validaciones aceptadas lo fueron con el token ya caducado? Escribe solo el número.

La cooperativa mantiene una lista de revocados. Contrástala con el registro: uno de los tokens revocados llegó a presentarse después y el validador lo aceptó. El otro de la lista nunca se presentó, así que no es un hallazgo.

Responde para continuar

¿Qué `jti` estaba revocado y fue aceptado después? Escríbelo tal cual.

El gerente de tecnología pide una sola frase de prioridad para el informe ejecutivo, con el primer cambio que habría que hacer antes de abrir la API a un tercero. Debe sostenerse con lo que el registro demuestra.

Responde para continuar

¿Qué cambio debe encabezar la lista de arreglos del informe, según la evidencia?

Rotar la clave de firma del emisor de la cooperativa antes de abrir la API a nadie más Bajar el margen de reloj de dos horas a unos pocos segundos en todos los endpoints Que /v1/informes verifique la firma: hoy acepta lo que cualquiera escriba en un token Retirar el endpoint /v1/salud, que es público por diseño y no pide ningún token

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 El endpoint que lee sin comprobar Lab

2 El token que era para otra API Lab

3 Cuántos estaban caducados Lab

4 La baja que seguía valiendo Lab

5 El orden del arreglo Lab

Whoami-Labs Pro utiliza cookies