jose / jwt は危険っていうアレの話

• https://postd.cc/jwt-json-web-tokens-is-bad-standard-that-everyone-should-avoid/
  • JOSEやJWTで検索すると出てくるこの記事
• 本当にこんなに強く言うほどなのか？

JWT / JOSEの脆弱性や回避方法

• 結論: algorithmを検証側でしっかり指定すること
• https://techblog.yahoo.co.jp/advent-calendar-2017/jwt/
• https://qiita.com/togana/items/d77d6c84bb2717273563
  • node実装では、RS256をHS256として読み込ませる脆弱性は潰されているらしい

結論

• やはり最初の記事はちょっと大げさな度合いが強い気がする
  • ただしEncryptの項目についてはそもそも関心外なので不明
• 確かにalg: noneって何よ感はあるし、言わんとしてることはわかる。
• 一方で結局流行ってなかったり実装系の薄いfernetやpasetoを使うかというと、現状そっちの脆弱性の方が怖いと感じてしまう・・・
• 実際のところ大手が使いすぎててもはやjwtをスタンダードと見たほうが自然になってしまうレベル
• jwtを使うよりjwt以外を使う方が現状説明コストが高い
• joseの一部仕様を削ったりすればいいだけなら、safety-joseとかstrict-joseみたいな提唱はなかったんだろうか？とか感じてしまう
  • TypeScriptが流行った理由みたいな