Tarkasta JWKS ja poimi julkiset PEM-avaimet

Mikä on JWKS ?

JWKS (JSON Web Key Set, RFC 7517) on JSON-dokumentti, joka sisältää luettelon julkisista avaimista jäsennellyssä muodossa. Sitä käytetään JWT-myöntäjän käyttämien allekirjoitusavainten julkaisemiseen, jotta kuka tahansa vastaanottaja voi noutaa ne ja varmistaa saamansa tunnuksen allekirjoituksen. Muoto näyttää aina tältä :

{
  "keys": [
    { "kty": "RSA", "kid": "abc123", "use": "sig", "alg": "RS256", "n": "...", "e": "AQAB" },
    { "kty": "EC",  "kid": "def456", "use": "sig", "alg": "ES256", "crv": "P-256", "x": "...", "y": "..." }
  ]
}

Jokainen keys-taulukon merkintä on JWK (JSON Web Key), joka kuvaa julkisen avaimen : avaintyyppi (kty), tunniste (kid), suunniteltu käyttö (use), kohdealgoritmi (alg) ja kryptografiset komponentit.

Milloin JWKS-avainta käytetään ?

JWKS on nykyaikaisten OAuth2- ja OpenID Connect -arkkitehtuurien selkäranka. Törmäät siihen useissa yhteyksissä :

• OIDC-haku : jokainen OpenID Connect -toimittaja tarjoaa määritysdokumentin osoitteessa /.well-known/openid-configuration, joka sisältää jwks_uri-kentän. Tässä URL-osoitteessa on JWKS, joka luettelee aktiiviset julkiset avaimet.
• JWT-varmennus : kun API vastaanottaa RS256- tai ES256-allekirjoitetun tunnuksen, se lukee otsikon kid-kentän, lataa myöntäjän JWKS:n, etsii vastaavan avaimen, johtaa siitä julkisen avaimen PEM-muodossa ja varmistaa allekirjoituksen.
• Avainten kierto : myöntäjä voi julkaista useita avaimia samanaikaisesti, mikä mahdollistaa uuden avaimen käyttöönoton uusien tunnusten allekirjoittamiseen samalla, kun vanha avain pidetään käytössä, kunnes liikkeellä olevat tunnukset vanhenevat.
• Federaatiot : SAML, SCIM, toisiinsa kytketyt palvelut; JWKS:n julkaiseminen poistaa tarpeen vaihtaa manuaalisesti X.509-sertifikaatteja kumppaneiden välillä.

JWK-avaimen olennaiset kentät

Jotkut kentät toistuvat säännöllisesti JWK-avaimessa. Tämä työkalu poimii ja näyttää ne jokaiselle analysoidun JWKS:n avaimelle :

• kid (key ID) : avaimen yksilöllinen tunniste. Tämä on arvo, jonka JWT-otsikko asettaa kid-kenttäänsä ilmoittaakseen, mitä JWKS:n avainta tulee käyttää varmentamiseen.
• kty (key type) : kryptografinen perhe. Kaksi hallitsevaa arvoa ovat RSA (perinteiset RSA-avaimet, käytetään RS256:n, RS384:n, RS512:n kanssa) ja EC (elliptiset käyrät, käytetään ES256:n, ES384:n, ES512:n kanssa).
• alg (algorithm) : allekirjoitusalgoritmi, jolle tämä avain on tarkoitettu. Valinnainen kenttä, mutta usein täytetty. Mahdollistaa tietylle JWT:lle käyttökelpoisten avainten nopean suodattamisen.
• use : avaimen käyttö. sig allekirjoitukseen (tavallinen tapaus), enc salaamiseen (harvinainen, käytetään JWE:n kanssa).

Miksi muuntaa JWK PEM-muotoon ?

Suurin osa klassisista kryptografisista kirjastoista (OpenSSL, openssl_verify PHP:ssä, crypto Node.js:ssä, JCA Javassa) hyväksyy julkiset avaimet PEM-muodossa (Base64-koodattu -----BEGIN PUBLIC KEY----- -kehyksessä), ei suoraan JWK-muodossa. JWK:n muuntaminen PEM-muotoon on siis välttämätöntä seuraaviin tarkoituksiin :

• Varmista manuaalisesti JWT-allekirjoitus skriptistä tai komentorivityökalusta (jwt, jose, step crypto).
• Tuo avain virheenkorjaustyökaluun, kuten JWT Verifieriin, joka odottaa PEM-avainta "julkinen avain" -kenttäänsä.
• Tallenna avain paikalliseen välimuistiin tai määritystiedostoon yleispätevässä ja luettavassa muodossa.
• Vertaa nopeasti kahta avainta (PEM-muoto helpottaa visuaalista vertailua).

Rajoitukset ja varoitukset

• Muunnos tapahtuu vain yhteen suuntaan : JWKS:stä PEM-muotoon. JWK:n muodostamista olemassa olevasta PEM-avaimesta ei tueta tässä versiossa.
• JWKS on liitettävä sellaisenaan JSON-tekstimuodossa. Automaattista noutoa jwks_uri-URL-osoitteesta tai OIDC-päätepisteestä ei tehdä palvelinpuolella odottamattomien ulkoisten kutsujen välttämiseksi.
• Yksityisten avainten ei kuulu näkyä julkisessa JWKS:ssä, ja tämä työkalu poimii vain julkiset komponentit, vaikka yksityinen avain olisikin mukana.

Kuinka sitä käytetään

1. Hae sen myöntäjän JWKS, jota haluat tarkastella. OIDC-toimittajalla osoite on yleensä https://esimerkki.com/.well-known/jwks.json tai https://esimerkki.com/oauth2/jwks.
2. Kopioi koko JSON-dokumentti (objekti, joka sisältää keys-avaimen).
3. Liitä se työkalun syöttöalueelle ja käynnistä analyysi.
4. Työkalu näyttää jokaiselle JWKS:n avaimelle sen kid-, kty-, alg- ja use-tiedot sekä PEM-muotoon muunnetun julkisen avaimen.
5. Napsauta "kopioi" noutaaksesi PEM-avaimen ja käyttääksesi sitä varmistusskriptissä, JWT Verifierissämme tai missä tahansa OpenSSL-yhteensopivassa työkalussa.

Usein kysytyt kysymykset

Pyyntöesimerkki

curl -X POST https://cdrn.fr/api/v1/tools/jwks-inspector/execute \
  -H "Content-Type: application/json" \
  -d '{"jwks":"..."}'

Syöteskeema

Päätepisteet

• GET https://cdrn.fr/api/v1/tools - listaa kaikki saatavilla olevat työkalut
• GET https://cdrn.fr/api/v1/tools/jwks-inspector - hakee tämän työkalun skeeman
• POST https://cdrn.fr/api/v1/tools/jwks-inspector/execute - suorittaa tämän työkalun JSON-payloadilla