🦈

【速習】JWT・JOSE

2023/06/08に公開

はじめに

JWTに関して勉強していたところ、外コン出身者でもびっくりの謎の略称が大量に出てきたため、その備忘録。
詳しい解説は多数あるので、ここでは分かりやすく端的に表現しています。
詳細で正確な情報に関してはRFCなどの参考文献を参照してください。

JSON形式のデータをHTTPヘッダーや、URLクエリに付加できる形にすることを目的とし、
ヘッダーとペイロードをBase64urlエンコードによりURLセーフな形にした文字列のこと。

JWT自体は上記を定義したもので、署名機能や暗号化機能はJWS、JWEという別のRFCで定義されている。
JWTはJWS、JWE、またはその両方によってエンコードされるために署名機能や暗号化機能を持つ。

JSON Object Signing and Encryptionの略。
JSONを利用したデータ転送用の規格群のことで、以下の3つを基本として定義する。

発行者と改ざんに関する整合性を保証するオブジェクト形式。

ヘッダー、ペイロード、署名の３ブロックによって成り立ち、
Base64では　<ヘッダー>.<ペイロード>.<署名>　という形式となる。

ヘッダー
暗号化に関する設定やキーを記述する
ペイロード
内容に関する記述
署名
ヘッダーとペイロードの情報をもとに生成された署名

生成

確認

JWT、JWSの内容を暗号化することにより、機密保護を行うためのフォーマット。
以下の記事が参考になる。というか見てください。。

JWEについて調査すると、いくつか脆弱性が指摘されるとの内容が見られる。
以下のQiitaでは2020年時点では脆弱性が解決されたかの調査をしている。
使用する際にはある程度のサーベイと判断が必要か。

暗号鍵（公開鍵）をJSON形式で配布するためのフォーマット
JWSのヘッダーに鍵の識別士kidを付加することでJWKsのどの公開鍵に対応するかを示す。

以下の記事がわかりやすかった。
が、スクラッチは脆弱性のもと。基本的にはライブラリや認証系サービスを使用しましょう。