[B! jwt] clavierのブックマーク

【Go】 Echo × Gorm を使用した JWT 認証の実装

概要本記事では、Echo を使用して JWT 認証を実装する方法をご紹介します。プロジェクトの作成プロジェクトディレクトリを作成します。

clavier 2023/10/07

リンク

JWT アクセストークンからの個人情報漏洩 - Qiita

内包型アクセストークン、典型例としては JWT アクセストークンは、関連するデータを自身の内部に持っています。下記の条件が成り立つと、論理的な帰結として、そのようなアクセストークンから直接個人情報が漏洩します。個人情報が含まれている暗号化されていないステートレス意図しない者に盗まれるここで「ステートレス」とは、「個人情報を保存するためのデータベースレコードを認可サーバー側に持たない」ことを意味しています。もしもアクセストークンの実装が「内包型／暗号化されていない／ステートレス」であり、また、システムがクライアントアプリケーションに個人情報を提供する必要があるなら、当該システムは、アクセストークンに情報を埋め込むことを避け、個人情報を問い合わせるための Web API を提供すべきです。ユーザー情報エンドポイント (OIDC Core Section 5.3) はそのような A

clavier 2021/11/14

リンク

セキュアなトークンへのJWT適用について - r-weblife

おはようございます、ritouです。こういう記事を読みました。 lab.astamuse.co.jp Webアプリケーションでセキュリティ対策のためにランダム文字列な文字列する場面が多々あります。例えば CSRF対策のトークン OAuthやOpenIDに使用するnonce, state メールの到達確認用URLのトークンパスワードをhashする際に使用するsalt これらの値は単に衝突しなければOKというものではありません。十分なセキュリティ強度を確保するためには推測不可能なランダム値を使う必要があります。私は持病を持っているため、ついつい「あー、これJWTなら...」と考えてしまいます。今回は、こういうセキュアなトークンの方にJWTを使ったらどうなるかというお話をざっくり書きます。ちなみに、乱数生成の話に異論を唱えるわけではありません。今回の要件にある衝突しない推測不可能

clavier 2021/09/12

jwt

リンク

RFC 8725 JSON Web Token Best Current Practices をざっくり解説する - Qiita

ritou です。今回は RFC 8725 JSON Web Token Best Current Practices を紹介します。みんな大好き JWT (JSON Web Token) の BCP ときたらチェックせずにはいられないでしょう。概要 JWTは署名/暗号化が可能な一連のクレームを含む、URLセーフなJSONベースのセキュリティトークンです JWTは、デジタルアイデンティティの分野および他のアプリケーション分野の両方の多数のプロトコルおよびアプリケーションにて、シンプルなセキュリティトークンフォーマットとして広く使用/展開されていますこのBCPの目的は、JWTの確実な導入と展開につながる実行可能なガイダンスを提供することですということで、何かのフレームワークでもプロトコルでもなければJWTを使ったユースケース考えたよって話でもなく、JWTを導入する上で基本的な部

clavier 2020/03/01

リンク

JWTを使った今どきのSPAの認証について | HiCustomer Lab - HiCustomer Developer's Blog

TL;DR JWTはCookieを使った認証の代わりに使うのはきつい。コードを静的にホスティングしているSPAの話。 JWTの有効期間を長くすれば危険で、短くすればUXが犠牲になるというトレードオフがある。 AWS AmplifyはlocalStorageにJWTを保存悪意のあるThird partyライブラリが混ざっていたらJWTを抜かれる。 yarn.lockが依存している全ライブラリを監査することはつらい。 Auth0ではiFrameを活用してメモリ上にJWTを格納できる Auth0いいね😍 まくら Youtubeが大好きなHiCustomerの小田です。ちょっと遅いですが年明け最初のエントリーです。今年もテックブログをよろしくお願いします😎ちなみに、気分がいいので年明けに観ていたYoutubeのエントリーの中で一番おもしろかった動画を紹介します。世界中で有名な「Auld L

clavier 2019/12/22

リンク

昨日Pythonを導入したド素人がDjangoでjwtトークン認証を実装できるか試してみた - Qiita

[jwtapp/settings.py] REST_FRAMEWORK = { 'DEFAULT_PERMISSION_CLASSES': ( 'rest_framework.permissions.IsAuthenticated', ), 'DEFAULT_AUTHENTICATION_CLASSES': ( 'rest_framework_jwt.authentication.JSONWebTokenAuthentication', ), 'NON_FIELD_ERRORS_KEY': 'detail', 'TEST_REQUEST_DEFAULT_FORMAT': 'json' }

clavier 2019/12/22

リンク

Webアプリケーションのセッション管理にJWT導入を検討する際の考え方 - r-weblife

おはようございます、ritou です。 qiita.com これの初日です。なんの話か皆さんは今まで、こんな記事を目にしたことがありませんか？ Cookie vs JWT 認証に JWT を利用するのってどうなの？ JWT をセッション管理に使うべきではない！リンク貼るのは省略しますが、年に何度か見かける記事です。個人的にこの話題の原点は最近 IDaaS(Identity as a Service) として注目を集めている Auth0 が Cookie vs Token とか言う比較記事を書いたことだと思っていますが、今探したところ記事は削除されたのか最近の記事にリダイレクトされてるようなのでもうよくわからん。なのでそれはおいといて、この話題を扱う記事はクライアントでのセッション管理 : HTTP Cookie vs WebStorage(LocalStorage / Sess

clavier 2019/12/01

リンク

[前編] IDトークンが分かれば OpenID Connect が分かる - Qiita

はじめに「解説記事を幾つも読んだけど OpenID Connect を理解できた気がしない」― この文書は、そういう悩みを抱えたエンジニアの方々に向けた OpenID Connect 解説文書です。概念的・抽象的な話を避け、具体例を用いて OpenID Connect を解説していこうと思います。この文書では、JWS (RFC 7515)、JWE (RFC 7516)、JWK (RFC 7517)、JWT (RFC 7519)、ID トークンの説明をおこないます。追記（2020-03-20）この記事の内容を含む、筆者本人による『OAuth & OIDC 入門編』解説動画を公開しました！ 1. 『ID トークン』を発行するための仕様一般の方々に対しては「OpenID Connect は認証の仕様である」という説明で良いと思います。一方、技術的な理解を渇望しているエンジニアの方々に対

clavier 2019/06/28

jwt
oauth

リンク

どうして JWT をセッションに使っちゃうわけ？ - co3k.org

備考 2018/09/21 22:15 追記 2018/09/20 12:10 に公開した「どうして JWT をセッションに使っちゃうわけ？」というタイトルが不適切だとご指摘をいただいています。その意見はもっともだと思いますので、現在、適切となるようにタイトルを調整しています。ご迷惑およびお騒がせをして大変申し訳ございません。本文の表現についても改善の余地は大いにありそうですが、こちらは (すでにご意見を頂戴している関係で、) 主張が変わってしまわないように配慮しつつ慎重に調整させていただくかもしれません。はあああ〜〜〜〜頼むからこちらも忙しいのでこんなエントリを書かせないでほしい (挨拶)。もしくは僕を暇にしてこういうエントリを書かせるためのプログラマーを募集しています (挨拶)。 JWT (JSON Web Token; RFC 7519) を充分なリスクの見積もりをせずセッシ

clavier 2018/09/25

security
jwt

リンク

OpenID Connect の JWT の署名を自力で検証してみると見えてきた公開鍵暗号の実装の話 - Qiita

はじめに皆さん、OpenID Connect を使った Web 認証/認可システムを実装していて、「サードパーティのライブラリなんかに頼りたくない！」とか「署名を自分でパースして中身見てみたい！」とか「OpenSSL の RSA_verify 呼び出すだけじゃ物足りない！自分で $m = S^e \pmod{n}$ ってやって署名検証してみたい！」って思うことよくありますよね？ここでは、暗号関連のライブラリを使用せず、OpenID Connect の JWT の署名を自力で検証した際に調べた内容を備忘録としてまとめてみました。普通はライブラリ任せにする署名検証の処理も自力でやってるので、「RSA 暗号の数式も知ってるし、ライブラリ使えば暗号化もできる。だけど、平文として指定した hogehoge をどうやってあの数式に当てはめてるのか気になる」という人が読むと、もしかしたら嬉しいか