Продвинутая легковесная альтернатива SAML для межсервисного взаимодействия, основанная на Json. Плюсы и минусы (есть уязвимость).

1. ‹#›CONFIDENTIAL
JWT -
JSON WEB TOKEN

2. ‹#›CONFIDENTIAL
2
1
3
Особенности
Компактность
Самодостаточность (self-containing)
Мультиплатформенность

3. ‹#›CONFIDENTIAL
• Аутентификация (SSO)
• Обмен данными между различными сервисами
Область применения

4. ‹#›CONFIDENTIAL
• Reserved
• Public
• Private
Структура JWT
Header
Payload
Signature

5. ‹#›CONFIDENTIAL
Общий вид
<base64url-encoded header>.<base64url-encoded claims>.<base64url-encoded signature>

6. ‹#›CONFIDENTIAL
Как это работает

7. ‹#›CONFIDENTIAL
• Json компактнее XML
• Есть возможность использовать цифровую подпись на базе пары ключей
• Нативный парсинг
• Ну и…
Преимущества JWT перед SWT и SAML

8. ‹#›CONFIDENTIAL
Отладка

9. ‹#›CONFIDENTIAL
• Алгоритм шифрования указан в разделе заголовок
• Допустим алгоритм “none”
• Проблемы в реализации библиотек для работы с JWT
Проблемы и уязвимости

10. ‹#›CONFIDENTIAL
Что в итоге?

11. ‹#›CONFIDENTIAL
THANK
YOU