Utforska JSON Web Token (JWT) signeringsalgoritmer, som täcker två av de mest populära asymmetriska krypteringsmetoderna: RSA och EC. Lär dig om fördelarna och nackdelarna med varje algoritm och hur Logto använder dem för att säkra dina JWT-token.
JSON Web Token (JWT) är ett kompakt, URL-säkert sätt att representera anspråk säkert. Strukturen inkluderar en sidhuvud, nyttolast och signatur.
Nuförtiden har JWT:er blivit allmänt antagna och spelar en avgörande roll i OAuth 2.0 och OIDC. Men hur verifierar och litar en auktoriseringsserver på en JWT som skickats från en klient? Hur utfärdas och undertecknas token av utfärdaren? I denna bloggpost kommer vi att prata om asymmetrisk kryptering och gå in på för- och nackdelarna med olika signeringsalgoritmer som Logto använder i sina JWT-token.
Logto signerar alla JWT-token, inklusive både ID-token och åtkomsttoken. En signerad JWT är också känd som en JWS (JSON Web Signature). En signerad JWT-struktur består av tre delar: sidhuvud, nyttolast och signatur, separerade med punkter (.).
Sidhuvudet består vanligtvis av följande delar:
Nyttolasten innehåller anspråken, vilka är uttalanden om en entitet (vanligtvis användaren) och ytterligare data. Till exempel kan en ID-token innehålla följande anspråk:
Signaturen används för att verifiera att avsändaren av JWT inte är en bedraga och att meddelandet inte har manipulerats. När du använder en signerad JWT måste du verifiera tokens signatur för att säkerställa tokenens integritet. Kontrollera denna guide om hur man validerar JWT-token för att skydda din API.
Asymmetrisk kryptering, även känd som public key-kryptografi, ett grundläggande koncept inom datasäkerhet och kryptografi, involverar användningen av ett unikt par av relaterade nycklar: en publik nyckel och en privat nyckel.
Denna unika arrangemang av nycklar bildar grunden för säker dataöverföring och användarauktoriseringsmekanismer i den digitala världen. Kolla denna bloggpost för mer information.
De RSA (Rivest-Shamir-Adelman) och EC (Elliptisk kurva) algoritmerna är de två vanligaste använda “matematiska funktionerna” i asymmetrisk kryptering.
Som utvecklare ställs vi ofta inför ett val mellan dessa algoritmer när vi hanterar ett autentiseringsramverk och dess JWT. Men vilken skulle vara ditt val? Låt oss gå in på fördelarna och nackdelarna med varje.
Logto har alltid strävat efter högsta säkerhets- och flexibilitetsstandarder och tenderar att använda de mest moderna och högpresterande lösningarna i sin kärna. EC erbjuder en vinnande kombination av robust säkerhet och beräkningsprestanda, vilket gör det till ett idealiskt val för moderna autentiserings- och auktoriseringsbehov. Därför har EC varit vår standard signeringsnyckelalgoritm sedan de tidiga stadierna av vår produkt.
Men vi har också erkänt att EC-signerade token inte är kompatibla med vissa tredjepartssystem och ramverk, särskilt de äldre. Därför har vi också introducerat en funktion för att ändra din JWT-signeringsnyckelalgoritm genom att rotera dina privata nycklar.
Så om du står inför problemet med att inte kunna ansluta till en tredjepartsplattform på grund av den icke-stödda JWT-signeringsalgoritmen, nu är det dags att rotera och välja RSA-algoritmen för din nya privata nyckel.
Denna funktion hjälper också till att minska riskerna associerade med långtidsnyckelns exponering eller kompromiss. Att regelbundet rotera privata nycklar bör vara en grundläggande praxis i varje organisations säkerhetsstrategi och rekommenderas starkt av Logto.
Att signera JWT-token säkerställer integriteten och äktheten hos den data som överförs. Valet av signeringsalgoritm kan ha en betydande påverkan på säkerheten, prestandan och kompatibiliteten av din applikation.
Både RSA och EC-algoritmer är viktiga och populära algoritmer inom kryptografi. Att förstå fördelarna och nackdelarna och de matematiska principerna bakom dessa algoritmer hjälper till att fatta bättre beslut för din applikation att arbeta med ett autentiserings- och auktoriseringsramverk.
Logto kommer att fortsätta utforska och erbjuda dig en mer säker och robust användarupplevelse.