JWT Translation #technight

JOSE + JWT 翻訳
OIDFJ 翻訳WG
@nov

Copyright 2013 OpenID Foundation Japan - All Rights Reserved.
http://openid-foundation-japan.github.io
OpenID, OAuth関連仕様翻訳
OIDFJ 翻訳WG

JSON Web Token (JWT)
JSON Web Signature (JWS)
JOSE UseCases

JWT in Production
OpenID Connect ID Token
YConnect, Google+ Sign-in
OAuth 2.0 JWT Bearer Token Proﬁle
Salesforce, Windows Azure ActiveDirectory
Other APIs
Google Checkout, Twillio API, Mozilla Persona
GREEとかDeNAでも内部的にいろいろ使ってる

質問

JSON Web Token って
聞いたことある人？

OpenID Connect の
IdP / RP 実装したことある人？

OpenID Connect の
IdP / RP 実装してみたい人？

ID & IT 2013 #ステマ

SAML の IdP/SP
実装したことある人？

CSV 万能？

SAML, The Enterprise

XML Signature / Encryption

しかし、XML亡き今...

XML Sig/Enc for JSON

JSON Web Encryption (JWE)

で、なにに使うの？

JOSE UseCases

多くのインターネット上のアプリケーションは, ネットワークレイヤーやト
ランスポートレイヤーでのセキュリティメカニズムに加えて, オブジェクト
ベースのセキュリティメカニズムを必要とする. かつてはCryptographic
Message Syntax (CMS) がASN.1に基づいたバイナリレベルでのセキュアオ
ブジェクトフォーマットを提供していた. しかしながら時代の変化とともに
ASN.1のようなバイナリオブジェクトエンコーディングは時代遅れとなり,
JSONなどのテキストベースエンコーディングが主流となった. 本ドキュメン
トでは, 現在実用化されている様々なアプリケーションレイヤーセキュリテ
ィメカニズムをもとに, JSONベースのセキュアオブジェクトフォーマットの
各種ユースケースと要件をまとめる.
http://openid-foundation-japan.github.io/draft-ietf-jose-use-cases-03.ja.html

JOSE UseCases
JOSE の実際のユースケースのリストアップ
OpenID Connect, OAuth, XMPP など
JOSE が何に使えるのかをざっくり知れる

JOSE UseCases
JOSE 仕様に求められる要件をまとめたドキュメント
ユースケースごとに異なる要件を比較検討
JOSE ML で議論されてる内容のバックグラウンドを
理解するにも有用

どんなフォーマットか見てみよう

JSON Web Token (JWT) は2者間でやりとりされるコンパクトで URL-safe
なクレームの表現方法である. JWT に含まれるクレームは JavaScript Object
Notation (JSON) オブジェクトとしてエンコードされ, JSON Web Signature
(JWS) のペイロードや JSON Web Encryption (JWE) の平文として利用され
る. JWS や JWE とともに用いることで, クレームに対してデジタル署名や
MAC を付与と暗号化の両方を行うことが可能となる.
http://openid-foundation-japan.github.io/draft-ietf-oauth-json-web-token-11.ja.html

JSON で任意の主体に対する Claim の集合を表現
Claim = 属性
いくつかの予約済み Claim 名を定義
subject, audience などなど (SAML由来?)

JSON を URL-safe な形でコンパクトにエンコード
Base64 URL Encode して “.” でつなぐ
コンパクトにするためキー名は短縮型
の3文字縛り (“subject” => “sub” etc.)

で、これをセキュアに使うには？

JSON Web Signature (JWS)は, JavaScript Object Notation (JSON)をベース
としたデータ構造を用いて, デジタル署名やMessage Authentication Codes
(MACs)により保護されたコンテンツを表現するための手段である. 本仕様
で使用する暗号アルゴリズムと識別子はJSON Web Algorithms (JWA) で述
べられている. 関連する暗号化の機能は, JSON Web Encryption (JWE) で述
べられている.
http://openid-foundation-japan.github.io/draft-ietf-jose-json-web-signature-14.ja.html

JSON Web Signature
“署名付きの JWT = JWS”
でだいたいあってる

JSON Web Signature
が、Payload を JSON に限定しないで
なるべく General にしようとしている

JSON Web Signature
alg=RSA-SHA256 / HMAC-SHA256
x
JWS Compact Serialization
の組み合わせだけ使えればとりあえずOK

その他の JOSE / JWT 関連仕様

JOSE / JWT Family
JSON Web Encryption
OAuth 2.0 JWT Bearer Token
JSON Web Algorithm
JSON Web Key
近日翻訳予定

http://openid-foundation-japan.github.io

JWT Translation #technight

More Related Content

What's hot

Viewers also liked

Similar to JWT Translation #technight

More from Nov Matake

Recently uploaded

JWT Translation #technight