Inspectarea unui JWKS și extragerea cheilor publice PEM

Ce este un JWKS?

Un JWKS (JSON Web Key Set, RFC 7517) este un document JSON care grupează o listă de chei publice sub formă structurată. Servește la publicarea cheilor pe care un emitent de JWT le utilizează pentru a-și semna token-urile, astfel încât orice consumator să le poată recupera și verifica semnătura token-urilor pe care le primește. Formatul se prezintă întotdeauna astfel:

{
  "keys": [
    { "kty": "RSA", "kid": "abc123", "use": "sig", "alg": "RS256", "n": "...", "e": "AQAB" },
    { "kty": "EC",  "kid": "def456", "use": "sig", "alg": "ES256", "crv": "P-256", "x": "...", "y": "..." }
  ]
}

Fiecare intrare a tabloului keys este o JWK (JSON Web Key) care descrie o cheie publică: tip de cheie (kty), identificator (kid), utilizare prevăzută (use), algoritm țintă (alg) și componente criptografice.

Când servește un JWKS?

JWKS-ul este coloana vertebrală a arhitecturilor OAuth2 și OpenID Connect moderne. Îl vei întâlni în mai multe contexte:

• Descoperire OIDC: orice furnizor OpenID Connect expune un document de configurare la /.well-known/openid-configuration care conține un câmp jwks_uri. La acest URL se găsește un JWKS listând cheile publice active.
• Verificare a JWT: când API-ul tău primește un token semnat în RS256 sau ES256, citește kid-ul header-ului, descarcă JWKS-ul emitentului, găsește cheia corespunzătoare, derivă cheia publică în format PEM, și verifică semnătura.
• Rotație de chei: un emitent poate publica mai multe chei simultan, ceea ce permite introducerea unei noi chei pentru a semna noile token-uri păstrând totodată vechea cheie în serviciu cât timp expiră token-urile în circulație.
• Federations: SAML, SCIM, servicii interconectate, publicarea unui JWKS evită schimbul manual de certificate X.509 între parteneri.

Câmpuri esențiale ale unei JWK

Câteva câmpuri revin sistematic într-o JWK. Acest instrument le extrage și le afișează pentru fiecare cheie a JWKS-ului analizat:

• kid (key ID): identificator unic al cheii. Această valoare este cea pe care header-ul unui JWT o pune în câmpul său kid pentru a indica care cheie a JWKS-ului trebuie să servească la verificare.
• kty (key type): familie criptografică. Cele două valori dominante sunt RSA (chei RSA clasice, utilizate cu RS256, RS384, RS512) și EC (curbe eliptice, utilizate cu ES256, ES384, ES512).
• alg (algorithm): algoritm de semnătură pentru care această cheie este prevăzută. Câmp facultativ dar adesea completat. Permite filtrarea rapidă a cheilor utilizabile pentru un JWT dat.
• use: utilizarea cheii. sig pentru semnătură (caz uzual), enc pentru criptare (rar, utilizat cu JWE).

De ce să convertești o JWK în PEM?

Majoritatea bibliotecilor criptografice clasice (OpenSSL, openssl_verify în PHP, crypto în Node.js, JCA în Java) acceptă cheile publice în format PEM (Base64 încadrat de -----BEGIN PUBLIC KEY-----), nu direct în format JWK. Conversia unei JWK în PEM este deci indispensabilă pentru:

• A verifica manual semnătura unui JWT dintr-un script sau instrument în linie de comandă (jwt, jose, step crypto).
• A importa cheia într-un instrument de debug precum JWT Verifier care așteaptă o cheie PEM în câmpul său "cheie publică".
• A stoca o cheie în cache local sau într-un fișier de configurare sub o formă universală și lizibilă.
• A compara rapid două chei (formatul PEM facilitează diff-urile vizuale).

Limite și avertismente

• Conversia se efectuează într-o singură direcție: JWKS spre PEM. Reconstrucția unei JWK dintr-o cheie PEM existentă nu este acoperită de această versiune.
• JWKS-ul trebuie să fie lipit ca atare sub formă de text JSON. Recuperarea automată dintr-un URL jwks_uri sau dintr-un endpoint OIDC nu se face pe partea serverului, pentru a evita apelurile ieșite imprevizibile.
• Cheile private nu trebuie să apară într-un JWKS public, iar acest instrument extrage doar componentele publice chiar dacă o cheie privată ar fi prezentă.

Cum să-l utilizezi

1. Recuperează JWKS-ul emitentului pe care vrei să-l inspectezi. Pentru un furnizor OIDC, adresa este în general https://exemplu.com/.well-known/jwks.json sau https://exemplu.com/oauth2/jwks.
2. Copiază integralitatea documentului JSON (obiectul conținând cheia keys).
3. Lipește-l în zona de intrare a instrumentului și lansează analiza.
4. Pentru fiecare cheie a JWKS-ului, instrumentul afișează kid-ul său, kty-ul său, alg-ul său, use-ul său și cheia publică convertită în format PEM.
5. Apasă pe "copiere" pentru a recupera PEM-ul și a-l utiliza într-un script de verificare, în JWT Verifier-ul nostru, sau în orice instrument compatibil OpenSSL.

Întrebări frecvente

Exemplu de cerere

curl -X POST https://cdrn.fr/api/v1/tools/jwks-inspector/execute \
  -H "Content-Type: application/json" \
  -d '{"jwks":"..."}'

Schema de intrare

Puncte de acces

• GET https://cdrn.fr/api/v1/tools - listează toate instrumentele disponibile
• GET https://cdrn.fr/api/v1/tools/jwks-inspector - obține schema acestui instrument
• POST https://cdrn.fr/api/v1/tools/jwks-inspector/execute - execută acest instrument cu un payload JSON