JSON Web Token - taşıma kapasitesi neden halka açık?

Bir JWT'nin taleplerini / yükünü, base64 kodunu çözdükten sonra herkes tarafından görülebilir kılmanın nedenini anlayamıyorum.

Niye ya?

Sır ile şifrelenmiş olması çok daha yararlı olacak gibi görünüyor.

Birisi bu verileri halka açık tutmanın nedenini veya hangi durumda olduğunu açıklayabilir mi?

Yükünü, başka hiçbir şeyi şifrelememeyi seçtiğiniz nedenlerle şifrelememeyi seçtiniz: maliyet (ancak küçük olmasına rağmen) faydayı aşıyor ve çok fazla verinin bu şekilde güvence altına alınması gerekmiyor.

En çok korunmaya ihtiyaç duyduğunuz şey, yanlış kayıtların güncellenmesi ya da birinin hesabının kontrol edilmemesi gereken parayı alması için veriyi kurcalayan insanlar. JSON Web Token'in imzası, başlığın / payload / imza kombinasyonunun herhangi bir bölümünü değiştirmek, paketi geçersiz kıldığından, bunu gerçekleştirir.

Paketleri yine de SSL kullanarak Aktarım Katmanında koruyabileceğinizi unutmayın.

RFC'de imza teriminin kullanılması, asimetrik kriptografideki dijital imza ile aynıdır. Asimetrik şifrelemede, gönderen bir mesajı özel anahtarıyla şifrelerse, mesajı olan herhangi biri gönderenin ortak anahtarıyla şifresini çözebilir. Bu nedenle, imza terimi ile amaç bir iletiyi gizli tutmak değil, iletinin bütünlüğünü / göndericisini doğrulamak değildir, bu değişmemiştir.

JWT'lerde, gönderen sistem mesajın hem yaratıcısı hem de tüketicisidir (aşağıdaki şemaya bakınız) ve amaç, kullanıcıya iletilen tokenin tahrif edilmediğinden (örneğin, yüksek ayrıcalıklar verildiğinden) emin olmaktır.

@Robert'in dediği gibi, JWT'ler hala TLS ile şifrelenebilir / şifrelenmelidir.

Aşağıda, aşağıdaki görüntünün kaynaklandığı JWT'ler ve imzaların iyi bir açıklaması bulunmaktadır. JSON Web Simgelerini Anlamak için 5 Kolay Adım (JWT)

Robert Harvey’in cevabını eklemek için, veri yükünü şifrelemenin önemli bir dezavantajı vardır - servis alıcısının, belirtecin taşıyıcısının yetkili olup olmadığını anlamak için kimlik doğrulama sunucusuyla (şifreleme anahtarı) bir sır paylaşması gerektiği anlamına gelir. ya da değil. Buna karşılık, herhangi biri yalnızca kimlik doğrulama sunucusu tarafından yayınlanan genel anahtarı kullanarak bir JWT'yi doğrulayabilir.

Bu, openid connect teknik özelliklerinin önemli bir parçasıdır, çünkü istemci uygulamaların auth sunucusu tarafından verilen kimlik belirteçlerini doğrulamasını sağlar, ayrıca kaynak sunucuların dağıtımını kolaylaştırır (gizli şifrelemeye erişim ile konuşlandırılmaları gerekmediğinden) ) ve ayrıca verilen JWT ile ilgili sorunları teşhis etmeye çalışırken de yardımcı olur.