JWT の最新ベスト プラクティスに関するドラフトを読み解く

IETF の OAuth Working Groupは、アイデンティティ分野における標準の作成と改良に熱心に取り組んでいます。この記事では JSON Web Token (JWT) の最新ベスト プラクティスについて書かれた直近のドラフトについて取り上げます。対象のドラフトでは、JWT の使用に際して陥りがちな落とし穴や、よく見られる攻撃方法に加えて、そうした問題に対する軽減策の実施方法を紹介していますので、ぜひご一読ください。 "JWT を標的とする特に一般的な攻撃方法と、具体的な保護対策が紹介されています" はじめにJSON Web Token (JWT) 仕様は、2 者間でのクレーム (属性情報) の伝送を目的とした、JSON ベースの形式について規定したオープン標準 (RFC 7519)です。 JWT を補完する標準として、JSON Web Key (RFC 7517), JSON

[rgfx]

"HS256 の共有シークレットにはどんな文字列でも使用でき、もちろん(デコード・傍受に使用した、サーバで公開されている) RS256 アルゴリズムの公開キーでもかまいません。" はーー。。

[yoppe9509]

JWT のベスト プラクティス、わかりやすい