[security] JWT를 해독 할 수 있다면 어떻게 안전합니까?

처음부터 토론합시다 :

JWT는 Json 웹 토큰으로 확장되는 매우 현대적이고 간단하며 안전한 접근 방식입니다. Json 웹 토큰은 인증을위한 상태 비 저장 솔루션입니다. 따라서 서버에 세션 상태를 저장할 필요가 없습니다. 물론 편안한 API에 적합합니다. 편안한 API는 항상 상태가 없어야하며 JWT 인증에 가장 널리 사용되는 대안은 세션을 사용하여 서버에 사용자의 로그인 상태를 저장하는 것입니다. 그러나 물론 편안한 API는 상태가 없어야한다는 원칙을 따르지 않으므로 JWT와 같은 솔루션이 널리 보급되었습니다.

이제 인증이 실제로 Json 웹 토큰과 어떻게 작동하는지 알려 드리겠습니다. 데이터베이스에 이미 등록 된 사용자가 있다고 가정합니다. 따라서 사용자의 클라이언트는 사용자 이름과 비밀번호로 게시 요청을 시작하여 사용자가 존재하는지 확인하고 비밀번호가 올바른지 확인하면 해당 사용자에 대해서만 고유 한 Json 웹 토큰을 생성합니다.

토큰은 서버에 저장된 비밀 문자열 을 사용하여 생성 됩니다 . 그런 다음 서버는 해당 JWT를 클라이언트로 다시 전송하여 쿠키 또는 로컬 스토리지에 저장합니다.

이와 같이 사용자는 서버의 상태를 떠나지 않고 인증되고 기본적으로 응용 프로그램에 로그인됩니다.

따라서 서버는 실제로 어떤 사용자가 실제로 로그인했는지 알지 못하지만 물론 사용자는 애플리케이션의 보호 된 부분에 액세스하는 여권과 같은 유효한 Json Web Token을 가지고 있기 때문에 자신이 로그인 한 것을 알고 있습니다.

다시 한 번, 아이디어를 얻었는지 확인하십시오. 사용자는 서버의 어느 곳에도 저장되지 않은 고유 한 유효한 Json Web Token을 되찾자 마자 로그인됩니다. 따라서이 프로세스는 완전히 상태 비 저장입니다.

그런 다음 사용자가 예를 들어 자신의 사용자 프로필 데이터와 같은 보호 된 경로에 액세스하려고 할 때마다. 그는 Json Web Token을 요청과 함께 보내므로 여권을 표시하여 해당 경로에 액세스하는 것과 약간 같습니다.

요청이 서버에 도달하면 앱은 Json 웹 토큰이 실제로 유효한지 확인하고 사용자가 실제로 자신이 말하는 사람인지 확인하면 요청 된 데이터가 클라이언트에 전송되고 그렇지 않은 경우 클라이언트에 전송됩니다. 사용자에게 해당 리소스에 액세스 할 수 없음을 알리는 오류가 발생했습니다.

이 모든 통신은 https를 통해 이루어져야하므로 누구나 암호화 된 Http를 사용하여 누구나 비밀번호 또는 Json 웹 토큰에 액세스 할 수 없도록하십시오. 그래야만 우리는 정말 안전한 시스템을 갖게됩니다.

따라서 Json Web Token은 jwt.io의 JWT 디버거에서 가져온이 스크린 샷의 왼쪽 부분처럼 보입니다. 본질적으로 세 부분으로 구성된 인코딩 문자열입니다. 헤더, 페이로드 및 서명 이제 헤더는 토큰 자체에 대한 일부 메타 데이터 일 뿐이며 페이로드는 토큰으로 인코딩 할 수있는 데이터, 실제로 원하는 데이터입니다. 여기에서 더 많은 데이터를 인코딩할수록 JWT가 더 커집니다. 어쨌든,이 두 부분은 암호화되어 있지는 않지만 일반 텍스트 일뿐입니다.

따라서 누구나 해독하고 읽을 수 있으므로 민감한 데이터는 여기에 저장할 수 없습니다. 그러나 세 번째 부분, 즉 서명에서 일이 실제로 흥미로워지기 때문에 전혀 문제가되지 않습니다. 서명은 서버에 저장된 헤더, 페이로드 및 비밀을 사용하여 작성됩니다.

그리고이 전체 프로세스를 Json 웹 토큰 서명 이라고 합니다 . 서명 알고리즘은 헤더, 페이로드 및 비밀을 사용하여 고유 한 서명을 만듭니다. 이 데이터와 비밀 만이이 서명을 만들 수 있습니다. 그런 다음 헤더 및 페이로드와 함께이 서명은 JWT를 형성 한 다음 클라이언트로 전송됩니다.

서버가 보호 된 라우트에 대한 액세스 권한을 부여하기 위해 JWT를 수신 한 후에는 사용자가 실제로 자신이 누구인지를 판별하기 위해이를 검증해야합니다. 즉, 토큰의 헤더 및 페이로드 데이터를 변경 한 사람이 없는지 확인합니다. 다시이 검증 단계는 제 3자가 Json Web Token의 헤더 또는 페이로드를 실제로 변경하지 않았는지 확인합니다.

그렇다면이 검증은 실제로 어떻게 작동합니까? 글쎄, 그것은 실제로 매우 간단합니다. JWT가 수신되면 검증은 헤더와 페이로드를 취하고 여전히 서버에 저장된 비밀과 함께 기본적으로 테스트 서명을 작성합니다.

그러나 JWT가 처음 만들어 졌을 때 생성 된 원래 서명은 여전히 ​​토큰에 있습니다. 이것이 바로이 검증의 핵심입니다. 이제 테스트 서명을 원래 서명과 비교하기 만하면됩니다. 테스트 서명이 원래 서명과 동일하면 페이로드와 헤더가 수정되지 않았 음을 의미합니다.

수정 된 경우 테스트 서명이 달라야합니다. 따라서 데이터를 변경하지 않은 경우 사용자를 인증 할 수 있습니다. 물론 두 시그니처가 실제로 다르면 누군가 데이터를 무단 변경했음을 의미합니다. 일반적으로 페이로드를 변경하려고합니다. 그러나 페이로드를 조작하는 제 3자는 물론 비밀에 액세스 할 수 없으므로 JWT에 서명 할 수 없습니다. 따라서 원래 서명은 조작 된 데이터와 절대 일치하지 않습니다. 따라서이 경우 검증은 항상 실패합니다. 이것이 전체 시스템을 작동시키는 열쇠입니다. JWT를 그렇게 단순하면서도 강력하게 만드는 것은 마술입니다.

답변

jwt.generate('PBES2-HS512+A256KW', 'A256GCM', payload, pwd, (error, token) => {
  jwt.parse(token).verify(pwd, (error, parsedToken) => {
    // other statements
  });
});