[B! security][jwt] seckieのブックマーク

seckie id:seckie

securityとjwtに関するseckieのブックマーク (2)

JWTを認証用トークンに使う時に調べたこと - Carpe Diem
概要 JWTを認証用トークンに使う時に調べたことをまとめます。 JWTとは JWTはJWSやJWEの構造の中にエンコードして埋め込まれるJSON形式のclaimのセットです。一般的にはJWS形式のJWTが使われるのでそれを前提に進めます。 JWS形式のJWTは以下のフォーマットです。 {base64エンコードしたheader}.{base64エンコードしたclaims}.{署名} 以下の特徴があります。発行者が鍵を使ってJSONを署名（or HMAC）し、トークンとして扱う。暗号化ではないので、JSON の中身は誰でも見られる。発行者は鍵を使ってメッセージの検証ができるので、改竄を検知できる。以上の点からトークンとして向いているため、認証トークンとして用いられるようになってきました。 Cookieとの認証フロー比較 ref: Cookies vs Tokens. Getting
seckie 2019/08/13
security

jwt

auth

session
リンク
JWT・Cookieそれぞれの認証方式のメリデメ比較 - Qiita
JWTとは JSON Web Tokenの略。ジョットと読むらしい。ざっくりいうとJsonに電子署名を加え、URL-Safeな文字列にしたTokenのこと正確にいうと、電子署名を使用する方式はJWS（JSON Web Signature）と呼ばれ、別途暗号化を使用するJWE（JSON Web Encryption）も存在する。よく見かける説明はJWS方式のほう。 JWS方式の場合、電子署名であり暗号化ではないため、中身を見ることは可能。但し改ざんはできない、という仕組み。実際のユースケースで言うと、サーバ側で認証情報が入ったJsonを加工（電子署名を加える等）し、JWTにしたのち、それを認証Tokenとしてクライアントに渡す。クライアントはそのTokenを認証Tokenとして使用する。仕組みについては調べればたくさん出てくるのでそちらを参照したほうが良いかと思います。この記事では
seckie 2019/08/13
jwt

auth

security
リンク
1