Ontdek JSON Web Token (JWT) tekenalgoritmen en bespreek twee van de meest populaire asymmetrische versleutelingsmethoden: RSA en EC. Leer over de voor- en nadelen van elk algoritme en hoe Logto ze gebruikt om je JWT-tokens te beveiligen.
JSON Web Token (JWT) is een compacte, URL-veilige manier om claims veilig weer te geven. De structuur bevat een header, payload en handtekening.
Tegenwoordig zijn JWT's wijdverbreid en spelen ze een cruciale rol in OAuth 2.0 en OIDC. Maar hoe verifieert en vertrouwt een autorisatieserver een JWT die van een cliënt wordt verzonden? Hoe wordt de token uitgegeven en getekend door de uitgever? In deze blogpost bespreken we asymmetrische versleuteling en onderzoeken we de voor- en nadelen van verschillende tekenalgoritmen die Logto gebruikt in zijn JWT-tokens.
Logto ondertekent alle JWT-tokens, inclusief zowel ID-tokens als toegangstokens. Een ondertekende JWT is ook bekend als een JWS (JSON Web Signature). Een ondertekende JWT-structuur bestaat uit drie delen: de header, payload en handtekening, gescheiden door punten (.).
De header bestaat doorgaans uit de volgende onderdelen:
De payload bevat de claims, dit zijn uitspraken over een entiteit (meestal de gebruiker) en aanvullende gegevens. Een ID-token kan bijvoorbeeld de volgende claims bevatten:
De handtekening wordt gebruikt om te verifiëren dat de afzender van de JWT geen bedrieger is en dat het bericht niet is gewijzigd. Bij het gebruik van een ondertekende JWT moet je de tokensignatuur verifiëren om de integriteit van de token te waarborgen. Bekijk deze gids over hoe je JWT-tokens kunt valideren om je API te beschermen.
Asymmetrische versleuteling, ook bekend als public-key cryptografie, een fundamenteel concept in computerbeveiliging en cryptografie, houdt het gebruik in van een uniek paar gerelateerde sleutels: een openbare sleutel en een privésleutel.
Deze unieke regeling van sleutels vormt de basis van veilige gegevensoverdracht en gebruikersauthenticatiemechanismen in de digitale wereld. Bekijk deze blogpost voor meer details.
De RSA (Rivest-Shamir-Adelman) en EC (Elliptic Curve) algoritmen zijn de twee meest gebruikte 'wiskundige functies' in asymmetrische versleuteling.
Als ontwikkelaars worden we vaak voor een keuze gesteld tussen deze algoritmen bij het omgaan met een auth-framework en zijn JWT's. Maar welke zou je kiezen? Laten we de voor- en nadelen van elk bekijken.
Logto heeft zich altijd ingezet voor de hoogste normen van beveiliging en flexibiliteit en heeft de neiging om de meest moderne en performante oplossingen in zijn kern te gebruiken. EC biedt een winnende combinatie van robuuste beveiliging en computationele efficiëntie, wat het een ideale keuze maakt voor moderne authenticatie- en autorisatiebehoeften. Daarom is EC ons standaard tekenalgoritme sinds de vroege fase van ons product.
We hebben echter ook erkend dat de met EC ondertekende tokens niet compatibel zijn met sommige externe systemen en frameworks, vooral die van de oudere generatie. Daarom hebben we ook een functie geïntroduceerd om je JWT-tekenalgoritme te veranderen door je privésleutels te roteren.
Dus als je het probleem ondervindt dat je niet kunt verbinden met een extern platform vanwege het niet-ondersteunde JWT-tekenalgoritme, is het nu tijd om te roteren en het RSA-algoritme voor je nieuwe privésleutel te selecteren.
Deze functie helpt ook de risico's te verminderen die gepaard gaan met lange-termijnsleutelblootstelling of -compromittatie. Het regelmatig roteren van privésleutels moet een fundamentele praktijk zijn in de beveiligingsstrategie van elke organisatie en wordt sterk aanbevolen door Logto.
Het ondertekenen van JWT-tokens zorgt voor de integriteit en authenticiteit van de verzonden gegevens. De keuze van het tekenalgoritme kan een significante invloed hebben op de beveiliging, prestaties en compatibiliteit van je toepassing.
Zowel RSA als EC-algoritmen zijn essentiële en populaire algoritmen in de cryptografie. Het begrijpen van de voor- en nadelen en de wiskundige principes achter deze algoritmen helpt bij het nemen van betere beslissingen voor je toepassing om samen te werken met een authenticatie- en autorisatieframework.
Logto zal blijven verkennen en je een veiligere en robuustere gebruikerservaring bieden.