JWT'de EC ve RSA imzalama algoritmalarına giriş

Arka Plan#

Dijital dünyada, veri iletiminin güvenliğini artırma çabası sürekli ve sürekli gelişen bir durum olmuştur. Günümüzde, JSON Web Token'ları (JWT) geniş çapta benimsenmiş ve OAuth 2.0 ile OIDC'de önemli bir rol oynamaktadır. Peki, bir yetkilendirme sunucusu bir istemciden gönderilen JWT belirtecini nasıl doğrular ve güvenir? Belirteç nasıl çıkarılıp, düzenleyen tarafından imzalanır? Bu blog yazısında, asimetrik şifreleme hakkında konuşacağız ve Logto'nun JWT belirteçlerinde kullandığı farklı imzalama algoritmalarının avantajlarına ve dezavantajlarına değineceğiz.

Asimetrik şifrelemeyi anlama#

Asimetrik şifreleme, bilgisayar güvenliği ve kriptografinin temel bir konsepti olarak bilinen ve birbiriyle ilişkili benzersiz bir anahtar çiftinin kullanıldığı bir sistemdir: bir genel anahtar ve bir özel anahtar. Bu anahtarların rolleri ilk başta mantıksız görünebilir, ancak veri güvenliği için gereklidir.

• Genel anahtar: Adından da anlaşılacağı gibi, genel anahtar açık paylaşım için tasarlanmıştır. JWT ve benzeri sistemlerde, genel anahtar imza doğrulama için kullanılır, şifreleme için değil. Veri özel anahtar ile imzalandığında ve alıcı karşılık gelen genel anahtara sahip olduğunda, verinin gerçekten özel anahtar sahibi tarafından imzalandığını ve iletim sırasında değiştirilmediğini doğrulayabilir. Ancak, HTTPS gibi geleneksel asimetrik şifreleme kullanımında, genel anahtar şifreleme için kullanılır ve şifrelenmiş veri yalnızca eşleşen özel anahtarı elinde bulunduran hedef sunucu tarafından çözülebilir.
• Özel anahtar: Buna karşılık, özel anahtar, yalnızca yasal sahibine ait olması gereken sıkı korunan bir sırdır. JWT bağlamında, özel anahtar, erişimi olan herkesin karşılık gelen genel anahtar aracılığıyla doğrulayabileceği dijital imzalar oluşturmak için kullanılır. Geleneksel asimetrik şifreleme bağlamında, özel anahtar gerçekten şifre çözme için kullanılır ve genel anahtar ile güvenli bir şekilde şifrelenmiş verilere erişim sağlar.

Bu benzersiz anahtar düzenlemesi, genel anahtarın verileri doğruladığı veya şifrelediği ve özel anahtarın imzaladığı veya şifresini çözdüğü bir sistem oluşturur ki bu, dijital dünyada güvenli veri iletimi ve kullanıcı kimlik doğrulama mekanizmalarının temelini oluşturur. Daha fazla ayrıntı için bu blog yazısını inceleyin.

Asimetrik şifreleme algoritmaları: RSA ve EC#

RSA (Rivest-Shamir-Adleman) ve EC (Eliptik Eğri) algoritmaları, asimetrik şifrelemede en sık kullanılan "matematiksel fonksiyonlar"dır. Geliştiriciler olarak, bir kimlik doğrulama çerçevesi ve JWT'leri ile uğraşırken bu algoritmalar arasında bir seçim yapmak zorunda kalırız. Ama hangisi tercihiniz olurdu? Gelin, her birinin avantajlarına ve dezavantajlarına derinlemesine bakalım.

RSA imzalama algoritması#

• Artıları:
  1. Yaygın destek: RSA, çeşitli platformlar ve kütüphaneler arasında geniş destek bulur, bu da geniş bir ortamda uyumluluğu garanti eder.
  2. Uzun geçmiş: RSA, güvenilir güvenliğin uzun bir geçmişine sahiptir ve algoritmaları kriptografi topluluğu tarafından iyi anlaşılmıştır.
• Eksileri:
  1. Anahtar boyutları: RSA anahtarlıkları, aynı güvenlik seviyesini elde etmek için EC'ye göre daha uzundur, bu da daha büyük belirteç boyutlarına ve artan hesaplama yüküne yol açar.
  2. Performans: RSA operasyonları EC'ye göre daha yavaş olabilir, bu da yüksek trafik uygulamalarında bir dezavantaj olabilir.

EC imzalama algoritması#

• Artıları:
  1. Verimlilik: EC, RSA'ya göre üstün performans sunar, bu da onu kaynak sınırlamaları veya yüksek trafik yükleri olan uygulamalar için ideal kılar.
  2. Kompakt anahtar boyutları: EC anahtarları, güvenlik seviyeleri eşitken RSA karşıtlarından çok daha kısadır. Bu da depolama ve ağ gereksinimlerini azaltır ve kriptografik işlemleri hızlandırır.
  3. Güvenlik: EC, güvenlikle ilgili sağlam bir çizgiye sahiptir, eliptik eğrilerin arkasındaki karmaşık matematik sayesinde güvenlik güçlendirilir ve kaba kuvvet saldırılarına karşı dayanıklıdır.
• Eksileri:
  1. Sınırlı destek: Bazı eski sistemler ve kütüphaneler kapsamlı EC desteğine sahip olmayabilir, bu da uyumluluk sorunlarına neden olabilir. Örneğin, Cloudflare Zero Trust EC imzalı belirteçleri desteklemez.
  2. Karmaşıklık: EC'yi uygulamak, ilgili matematiksel karmaşıklıklardan dolayı daha karmaşık olabilir.

Logto'nun JWT imzalama algoritmaları seçimi#

Logto her zaman en yüksek güvenlik ve esneklik standartlarına bağlı kalmış ve çekirdeğinde en modern ve performanslı çözümleri kullanma eğilimindedir. EC, sağlam güvenlik ve hesaplama verimliliği ile kazanan bir kombinasyon sunarak, modern kimlik doğrulama ve yetkilendirme ihtiyaçları için ideal bir seçimdir. Bu nedenle, ürünümüzün erken aşamalarından beri varsayılan imzalama anahtağı algoritmamız olarak EC'yi kullandık.

Ancak, kullanıcılarımızdan aldığımız birçok geri bildirim, EC ile imzalanan belirteçlerin bazı üçüncü taraf sistemler ve çerçeveler ile, özellikle de eski olanlarla uyumlu olmadığını gösterdi. Bu yüzden, Logto'nun tüm kimlik doğrulama gereksinimleriniz için uyarlanabilir ve çok yönlü kalmasını sağlamak amacıyla, RSA algoritması desteği sağlamaya yönelik çalışmalar yapmaktayız.

Gelecek sürümde, Logto Cloud "Özel Anahtar Rotasyonu" özelliğini tanıtacak, bu da kiracı üzerinde yeni bir OIDC özel anahtarı ve çerez anahtarı oluşturmanıza olanak tanıyacak. (Özel anahtar, JWT belirteçlerinizi imzalamak için ve çerez anahtarı çerezlerinizi imzalamak için kullanılır.)

Bu özellik, uzun vadeli anahtar maruziyeti veya tehlikeye atılma ile ilişkili riskleri azaltmaya yardımcı olur. Düzenli olarak özel anahtarları döndürmek, herhangi bir kuruluşun güvenlik stratejisinde temel bir uygulama olmalıdır ve Logto tarafından şiddetle tavsiye edilir.

Ayrıca, JWT imzalama anahtarınızı döndürürken, EC ve RSA algoritmalarından imzalama anahtar algoritmasını seçme seçeneği sunacağız. Bu nedenle, JWT imzalama algoritmasının desteklenmemesi nedeniyle üçüncü taraf bir platforma bağlanamama sorunuyla karşılaşıyorsanız, şimdi döndürebilir ve yeni özel anahtarınız için RSA algoritmasını seçebilirsiniz.

Bu ayar kiracı ayarları sayfasında bulunduğundan, UI OSS kullanıcılarına sunulmayacaktır. Ama merak etmeyin, yine de son sürüme yükselterek ve Logto kök dizininde aşağıdaki CLI komutlarını çalıştırarak bunu başarabilirsiniz.

Özetle#

Asimetrik şifreleme, kimlik doğrulama sisteminizdeki JWT belirteçlerini güven altına almanıza yardımcı olur. Hem EC hem de RSA algoritmaları kriptografinin temel ve popüler algoritmalarıdır. Bu algoritmaların avantajlarını, dezavantajlarını ve matematiksel ilkelerini anlayarak uygulamanızın kimlik doğrulama ve yetkilendirme çerçevesi ile uyumlu çalışmasını sağlamak için daha iyi kararlar verebilirsiniz.

Logto, size daha güvenli ve sağlam bir kullanıcı deneyimi sunmak için keşfetmeye ve çözüm geliştirmeye devam edecektir.