Preverjevalnik JWT
Preverite, ali je spletni žeton JSON pristen in še veljaven. Prilepite žeton skupaj s skrivnostjo HMAC, javnim ključem PEM, potrdilom, JWK ali celotnim JWKS; preverjevalnik nato s knjižnico jose preveri podpis, primerja exp in nbf s trenutnim časom ter morebitnim dovoljenim odstopanjem ure in ob dekodirani glavi ter zahtevkih poda jasno oceno. Žetoni z alg none so zavrnjeni.
Pogosta vprašanja
Kaj preverjevalnik preveri?
Preveri podpis glede na ključ, ki ga navedete, nato pa primerja zahtevka exp in nbf s trenutnim časom. Ocena je veljaven samo, če se podpis ujema in nobeno preverjanje časa ne spodleti. Zahtevki, kot so iss, aud ali sub, so prikazani v vsebini, vendar se ne primerjajo s pričakovanimi vrednostmi.
Katere ključe lahko prilepim?
Za HS256, HS384 in HS512 prilepite skupno skrivnost kot besedilo ali kot JWK vrste oct. Za žetone RSA, EC in EdDSA prilepite javni ključ PEM (SPKI ali PKCS #1), potrdilo X.509, javni ali zasebni JWK, JWKS z največ 50 ključi ali zasebni ključ PEM, pri katerem se uporabi samo javni del.
Kako se izbere pravi ključ iz JWKS?
Če glava žetona vsebuje kid, se uporabi ključ z enakim kid v naboru; če se noben ne ujema, napaka navede kid. Če kid ni naveden, mora nabor vsebovati natanko en ključ. To odraža način, kako večina strežnikov izbira ključe iz dokumenta jwks_uri.
Kaj naredi možnost algoritma?
Pri možnosti Use the token's alg se algoritem določi iz glave žetona, vendar mora biti ključ še vedno združljiv z njim, zato javnega ključa RSA nikoli ni mogoče uporabiti kot skrivnost HMAC. Izberite določen algoritem, da zahtevate tudi njegovo uporabo v žetonu, kot bi moral strežnik določiti pričakovani algoritem. Žeton z drugim alg se nato zavrne, pri čemer sta prikazani obe imeni.
Zakaj je žeton z alg none zavrnjen?
Žeton z alg none nima podpisa, zato ni česa preveriti in lahko bi ga ustvaril kdorkoli. Sprejemanje takih žetonov je dobro znana ranljivost v knjižnicah JWT. Preverjevalnik to sporoči kot napako namesto kot veljaven rezultat.
Kako delujejo exp, nbf in časovna toleranca?
Žeton velja za poteklega, ko je exp enak ali manjši od trenutnega časa, za še neveljavnega pa, ko je nbf poznejši od trenutnega časa. Časovna toleranca od 0 do 3600 sekund razširi obe preverjanji, da upošteva odstopanje ur med strežniki. Če so prisotne zahteve (claims), ki niso številske, je žeton neveljaven.
Kaj pomeni neveljaven podpis?
Žeton ni bil podpisan s ključem, ki ste ga navedli, ali pa je bila njegova glava ali vsebina spremenjena po podpisu. Preverite, ali ste prilepili ustrezen javni ključ ali skrivnost z natančno enakimi znaki in ali ste žeton kopirali v celoti. Dekodirana glava in vsebina sta še vedno prikazani, da ju lahko primerjate.
Kateri algoritmi so podprti?
HS256, HS384, HS512, RS256, RS384, RS512, PS256, PS384, PS512, ES256, ES384, ES512 in EdDSA s ključi Ed25519. Ključi RSA morajo imeti najmanj 2048 bitov. Šifrirani žetoni (JWE) se ne dešifrirajo.
Ali se žeton ali ključ shrani?
Ne. Žeton in ključ se uporabita samo za to preverjanje v pomnilniku ter se nikoli ne beležita ali shranita. Javni ključ lahko varno delite, vendar s skrivnostmi HMAC ravnajte previdno in zamenjajte vsako skrivnost, za katero sumite, da je ušla.
Kako velika sta lahko žeton in ključ?
Žetoni imajo lahko največ 65,536 znakov, polje za ključ pa največ 262,144 znakov, kar zadošča za velike dokumente JWKS. Žeton mora vsebovati tri dele base64url, ločene s pikami, glavo JSON s članom alg in objekt JSON kot vsebino.