Fernet-Token Encoder/Decoder

• Kompatibel mit der Python-Bibliothek cryptography: Mit unserem Encoder erzeugte Fernet-Token können von der Bibliothek cryptography.fernet von Python entschlüsselt werden – und umgekehrt. Vollständige Kompatibilität mit der Standard-Fernet-Spezifikation (AES-128-CBC + HMAC-SHA256).
• HMAC-Signaturprüfung: Jedes Fernet-Token enthält eine HMAC-SHA256-Signatur, die bei der Entschlüsselung geprüft wird. Wurde das Token manipuliert oder wird das falsche Passwort verwendet, schlägt die HMAC-Prüfung sofort fehl.
• Zeitstempelvalidierung und Token-Alter: Jedes Fernet-Token enthält einen eingebetteten Unix-Zeitstempel, der genau zeigt, wann es erstellt wurde. Bei der Entschlüsselung zeigt der Fernet-Encoder das Alter des Tokens und die Erstellungszeit für Audits und Ablaufprüfungen an.
• Sichere PBKDF2-Schlüsselableitung: Ihr Passwort wird mit PBKDF2 mit 480.000 Iterationen und HKDF-Erweiterung in einen Fernet-kompatiblen 32-Byte-Schlüssel umgewandelt. Das kombinierte Schlüssel-und-Token-Ausgabeformat erleichtert das Teilen – einfach die gesamte Zeichenkette einfügen.

• Sicherer Nachrichtenaustausch: Nutzen Sie den Fernet-Token-Encoder, um Nachrichten vor dem Versand per E-Mail, Chat oder sozialen Medien zu verschlüsseln. Der Empfänger kann das Fernet-Token mit demselben Passwort entschlüsseln. Kein Drittanbieterdienst erforderlich.
• Integration für Python-Entwickler: Python-Entwickler können diesen Online-Fernet-Encoder nutzen, um schnell Token für Tests oder Debugging zu erzeugen. Die Ausgabe ist vollständig mit dem Modul cryptography.fernet von Python kompatibel – keine Testskripte nötig.
• API-Token-Generierung: Erzeugen Sie Fernet-Token für die API-Authentifizierung oder Sitzungsverwaltung. Der eingebettete Zeitstempel ermöglicht Servern die Prüfung der Token-Aktualität, während der HMAC Manipulationen verhindert.
• Speicherung von Konfigurationsgeheimnissen: Verschlüsseln Sie sensible Konfigurationswerte – API-Schlüssel, Datenbankpasswörter oder Dienstzugangsdaten – in Fernet-Token. Speichern Sie die Token in Konfigurationsdateien und entschlüsseln Sie sie zur Laufzeit mit dem Master-Passwort.
• Plattformübergreifende Datenportabilität: Fernet-Token sind plattformunabhängig. Verschlüsseln Sie Daten im Browser mit unserem Fernet-Encoder und entschlüsseln Sie sie anschließend in Python, Go, Rust oder jeder Sprache mit einer Fernet-kompatiblen Bibliothek.
• Cookie- und Sitzungsverschlüsselung: Verschlüsseln Sie Web-Sitzungsdaten oder Cookies in Fernet-Token. Die HMAC-Signatur verhindert Manipulationen, während der Zeitstempel den Sitzungsablauf ermöglicht. Die gesamte Verarbeitung erfolgt lokal im Browser für Tests und Prototypen.

Ein Fernet-Token ist ein symmetrisches Verschlüsselungsformat, das von der Python-Bibliothek cryptography definiert wird. Es kombiniert AES-128-CBC-Verschlüsselung mit HMAC-SHA256-Authentifizierung. Jedes Fernet-Token enthält ein Versionsbyte, einen Unix-Zeitstempel, einen zufälligen Initialisierungsvektor (IV), den Geheimtext und eine HMAC-Signatur – alles in einem Base64-kodierten String. Das Token-Format gewährleistet sowohl Vertraulichkeit als auch Integrität: Der Geheimtext kann ohne Schlüssel nicht gelesen werden, und der HMAC verhindert unbemerkte Manipulationen. Dieser doppelte Schutz macht Fernet-Token geeignet für sicheren Nachrichtenaustausch, Sitzungsverwaltung und Konfigurationsverschlüsselung.

1. Schlüsselableitung: Ihr Passwort wird mit PBKDF2 mit 480.000 Iterationen von SHA-256 und anschließender HKDF-Erweiterung in einen 32-Byte-Fernet-Schlüssel umgewandelt. Die ersten 16 Bytes werden zum HMAC-Signaturschlüssel, die letzten 16 Bytes zum AES-Verschlüsselungsschlüssel.
2. Verschlüsselung (Encoding): Ein zufälliger 16-Byte-IV wird erzeugt. Der Klartext wird mit PKCS7 aufgefüllt, mit AES-128-CBC verschlüsselt und in das Token-Format gesetzt: Versionsbyte (0x80) + 8-Byte-Zeitstempel + IV + Geheimtext + HMAC. Das gesamte binäre Token wird Base64-kodiert.
3. Entschlüsselung (Decoding): Das Token wird Base64-dekodiert, in seine Bestandteile zerlegt, der HMAC gegen den Signaturschlüssel geprüft und – falls gültig – der Geheimtext mit AES-128-CBC entschlüsselt und entpackt.

• Version (1 Byte): Immer 0x80 (128), was dies als Fernet-Token Version 2 kennzeichnet. Zukünftige Versionen könnten andere Werte verwenden.
• Zeitstempel (8 Bytes): Big-Endian-Unix-Zeitstempel, der angibt, wann das Token erstellt wurde. Nützlich für Ablaufprüfungen und Audits.
• IV (16 Bytes): Zufälliger Initialisierungsvektor für AES-128-CBC. Für jede Verschlüsselung wird ein anderer IV erzeugt, sodass identische Klartexte unterschiedliche Token ergeben.
• Geheimtext (variabel): Der mit PKCS7 aufgefüllte und mit AES-128-CBC verschlüsselte Klartext unter Verwendung des 16-Byte-Verschlüsselungsschlüssels aus Ihrem Passwort.
• HMAC (32 Bytes): SHA-256-HMAC über Version, Zeitstempel, IV und Geheimtext, berechnet mit dem 16-Byte-Signaturschlüssel. Das verhindert unbemerkte Manipulationen.

Der Fernet-Token Encoder/Decoder verarbeitet alle Daten vollständig in Ihrem Browser über die Web Crypto API. Es werden niemals Daten auf einen Server hochgeladen, in einer Datenbank gespeichert oder an Dritte weitergegeben. Die kryptografischen Operationen – PBKDF2-Schlüsselableitung, AES-128-CBC-Ver- und -Entschlüsselung sowie HMAC-SHA256-Signierung und -Prüfung – nutzen alle nativen kryptografischen Primitive des Browsers für maximale Sicherheit. Bewahren Sie Ihr Passwort sicher auf: Es gibt keinen Wiederherstellungsmechanismus. Das kombinierte Schlüssel-und-Token-Ausgabeformat ermöglicht es, sowohl Schlüsselmaterial als auch Token in einer einzigen Zeichenkette zu teilen.