Question 1

Τι είναι το JWT;

Accepted Answer

Το JWT (JSON Web Token, RFC 7519) είναι ένα ανοιχτό πρότυπο για ασφαλή μεταφορά πληροφοριών ως συμπαγές αντικείμενο JSON. Αποτελείται από τρία μέρη διαχωρισμένα με τελείες: Header.Payload.Signature.

Question 2

Ποιες είναι οι κοινές χρήσεις του JWT;

Accepted Answer

Το JWT χρησιμοποιείται ευρέως για ταυτοποίηση (single sign-on), εξουσιοδότηση API και ασφαλή ανταλλαγή πληροφοριών. Μετά τη σύνδεση, ο διακομιστής εκδίδει ένα JWT που ο πελάτης συμπεριλαμβάνει στα επόμενα αιτήματα.

Question 3

Πώς επιλέγω μεταξύ HS256, RS256 και ES256;

Accepted Answer

Το HS256 χρησιμοποιεί κοινό μυστικό και είναι το ταχύτερο, κατάλληλο για μεμονωμένες υπηρεσίες. Το RS256 χρησιμοποιεί ζεύγη κλειδιών RSA, καλύτερο για αρχιτεκτονικές πολλαπλών υπηρεσιών. Το ES256 χρησιμοποιεί ελλειπτικές καμπύλες με κοντές υπογραφές και υψηλή ασφάλεια.

Question 4

Τι είναι τα claims του JWT;

Accepted Answer

Τα claims είναι δηλώσεις στο φορτίο. Τα εγγεγραμμένα claims περιλαμβάνουν iss (εκδότης), sub (θέμα), exp (λήξη), aud (ακροατήριο). Τα δημόσια claims μπορούν να εγγραφούν στο IANA. Τα ιδιωτικά claims είναι προσαρμοσμένα πεδία.

Question 5

Πώς επαληθεύω ένα JWT;

Accepted Answer

Αποκωδικοποιήστε την κεφαλίδα για να πάρετε τον αλγόριθμο, μετά χρησιμοποιήστε το κατάλληλο κλειδί (κοινό μυστικό για HMAC, δημόσιο κλειδί για RSA/ECDSA) για επαλήθευση υπογραφής. Ελέγξτε επίσης exp, iss και aud.

Question 6

Είναι ασφαλής η δημιουργία JWT στον browser;

Accepted Answer

Ναι, αυτό το εργαλείο χρησιμοποιεί το Web Crypto API. Τα κλειδιά και τα token σας δεν φεύγουν ποτέ από τον browser. Δεν στέλνονται δεδομένα σε διακομιστές.

Question 7

Ποια είναι η διαφορά μεταξύ κωδικοποίησης και υπογραφής;

Accepted Answer

Η κωδικοποίηση (Base64) απλά μετατρέπει δεδομένα σε μεταβιβάσιμη μορφή και είναι αναστρέψιμη από οποιονδήποτε. Η υπογραφή δημιουργεί ένα κρυπτογραφικό hash που αποδεικνύει ότι το token δεν έχει αλλοιωθεί.

Question 8

Μπορεί να κρυπτογραφηθεί το JWT;

Accepted Answer

Ναι, το JWE (JSON Web Encryption) κρυπτογραφεί το περιεχόμενο του φορτίου. Το τυπικό JWT (JWS) εγγυάται μόνο την ακεραιότητα, αλλά το φορτίο είναι αναγνώσιμο από οποιονδήποτε έχει το token.

Question 9

Ποιες είναι οι καλύτερες πρακτικές ασφαλείας για JWT;

Accepted Answer

Πάντα ορίζετε σύντομους χρόνους λήξης. Χρησιμοποιείτε ισχυρά, τυχαία μυστικά για HMAC. Αποθηκεύετε τα ιδιωτικά κλειδιά με ασφάλεια. Ποτέ μην βάζετε ευαίσθητα δεδομένα στο φορτίο. Χρησιμοποιείτε HTTPS στην παραγωγή.

Question 10

Πώς συγκρίνεται το JWT με τον έλεγχο ταυτότητας βάσει συνόδου;

Accepted Answer

Το JWT είναι χωρίς κατάσταση — ο διακομιστής δεν αποθηκεύει δεδομένα συνόδου, ιδανικό για μικροϋπηρεσίες και σενάρια cross-domain. Οι σύνοδοι απαιτούν αποθήκευση στον διακομιστή αλλά επιτρέπουν άμεση ανάκληση.

Question 11

Είναι το JWT κατάλληλο για αποσύνδεση και διαχείριση συνόδων;

Accepted Answer

Το JWT είναι χωρίς κατάσταση από σχεδιασμό, έτσι η αποσύνδεση απαιτεί πρόσθετους μηχανισμούς όπως λίστες αποκλεισμού ή token σύντομης διάρκειας με refresh tokens. Χρησιμοποιείτε token πρόσβασης σύντομης διάρκειας (π.χ. 15 λεπτά).

Question 12

Πώς λειτουργεί το μοτίβο refresh token με JWT;

Accepted Answer

Χρησιμοποιείτε ένα token πρόσβασης σύντομης διάρκειας (JWT) για κλήσεις API και ένα refresh token μεγαλύτερης διάρκειας για λήψη νέων token πρόσβασης. Όταν το token πρόσβασης λήγει, ο πελάτης στέλνει το refresh token για νέο JWT.

Question 13

Τι είναι ο αλγόριθμος "none";

Accepted Answer

Ο αλγόριθμος "none" σημαίνει ότι το JWT δεν είναι υπογεγραμμένο. Χρησιμοποιήστε τον μόνο για δοκιμές. Πολλές βιβλιοθήκες τον απενεργοποιούν από προεπιλογή.

Question 14

Υπάρχουν περιορισμοί μεγέθους για JWT;

Accepted Answer

Το JWT δεν έχει σταθερό όριο μεγέθους, αλλά επειδή στέλνεται σε κεφαλίδες HTTP, πρέπει να παραμείνει κάτω από 4KB. Κρατήστε το φορτίο ελάχιστο.

Γεννήτρια JWT

Πώς να χρησιμοποιήσετε το Γεννήτρια JWT