SD-JWT-Decoder
Fügen Sie ein SD-JWT ein und sehen Sie Header, Angaben, alle Disclosures mit ihrem Digest und das Key-Binding-JWT. Der Token verlässt den Browser nicht.
So funktioniert es
Ein SD-JWT besteht aus einem signierten JWT, mehreren Disclosures und optional einem Key-Binding-JWT, getrennt durch Tilden (~). Der Decoder trennt die Teile, liest Header und Angaben des JWT und dekodiert jede Disclosure. Für jede Disclosure berechnet er den Digest mit dem im Token angegebenen Verfahren, meist SHA-256, und sucht ihn im signierten Teil.
Was der Decoder zeigt
- Header mit Algorithmus, Typ und Schlüssel-ID.
- Die Angaben des signierten Teils, mit Zeitangaben wie iat und exp in lesbarer Form.
- Jede Disclosure mit Name, Wert, Digest und dem Hinweis, ob ihr Digest im Token referenziert ist.
- Die Zahl der verborgenen Angaben, die nur als Digest enthalten sind.
- Das Key-Binding-JWT, falls vorhanden.
Was der Decoder nicht tut
Er prüft weder die Signatur des Ausstellers noch die des Key-Binding-JWT, und er bewertet keinen Schlüssel. Eine Disclosure, deren Digest referenziert ist, ist damit noch nicht echt. Für diese Fragen gibt es die Prüfseite; Hintergründe erklärt der Begriff selektive Offenlegung.
Typische Einsätze
- Entwicklung: Prüfen, ob die eigene Software Disclosures korrekt erzeugt und im signierten Teil referenziert.
- Fehlersuche: Eine Prüfung meldet einen Digest-Fehler; der Decoder zeigt, welche Disclosure nicht passt.
- Datenschutz: Sehen, welche Angaben ein Agent tatsächlich offenlegt und welche verborgen bleiben.
Tipps zur Fehlersuche
Achten Sie beim Kopieren darauf, dass keine Zeilenumbrüche oder Leerzeichen in den Token geraten. Endet ein SD-JWT ohne Key-Binding-JWT, steht am Schluss eine einzelne Tilde. Stimmt ein Digest nicht, wurde die Disclosure meist neu kodiert statt zeichengenau übernommen.
Häufige Fragen
Was bedeutet «im Token referenziert»?
Der Digest der Disclosure steht im signierten Teil, etwa in einem _sd-Feld. Fehlt er, gehört die Disclosure nicht zu diesem Token und würde bei einer Prüfung beanstandet.
Was sind verborgene Angaben?
Digests im signierten Teil, zu denen keine Disclosure mitgeliefert wurde. Der Inhaber hat diese Angaben nicht offengelegt; ihr Inhalt bleibt unsichtbar.
Unterstützt der Decoder Verifiable Intent?
Ja, soweit es um das Lesen geht: Die Schichten von Verifiable Intent sind SD-JWT. Für die Prüfung der Bindungen zwischen den Schichten nutzen Sie die Prüfseite.
Welche Hash-Verfahren versteht der Decoder?
SHA-256, SHA-384 und SHA-512, je nach Angabe in _sd_alg. Fehlt die Angabe, gilt nach SD-JWT SHA-256.
Kann ich ein SD-JWT ohne Disclosures einfügen?
Ja. Dann zeigt der Decoder den signierten Teil und die Zahl der verborgenen Angaben; die Tabelle der Disclosures bleibt leer. So sehen Sie, wie viele Angaben ein Nachweis enthält, ohne sie offenzulegen.