Protegiendo nuestros recursos con JWT

Yo lo hice en Python, usando Django y una libreria que se llama pyjwt

Cristian David Franco Garcia

https://auth0.com/blog/navigating-rs256-and-jwks/

Camilo Ramirez

El reto lo intenté hacer lo más sencillo posible.

En este sitio generé las llaves públicas y privadas usando esta configuración, tambien las puedes generar “a palo”:
Modifico el API de esto:

app.post("/api/auth/token", function(req, res) {
  const { email, username, name } = req.body;
  const token = jwt.sign({ sub: username, email, name }, config.authJwtSecret);
  res.json({ access_token: token });
});

a esto

app.post("/api/auth/token", function(req, res) {
  const { email, username, name } = req.body;
  const token = jwt.sign({ sub: username, email, name }, config.jwtPrivateKey, { algorithm: 'RS256'});
  res.json({ access_token: token });
});

Jose de Jesus Herrera Ledon

https://auth0.com/docs/secure/tokens/json-web-tokens/json-web-key-sets

RS256
Jason Web Key Set
https://YOUR_DOMAIN/.well-known/jwks.json

Ameth Ordoñez Erazo

Resumen:
JWT usa dos formas de cifrado:

RS256: 🔑🔑 Un algoritmo de cifra asimétrico, que utiliza dos llaves (una pública y una privada). Es como si una puerta utilizara una llave para poner el seguro (la pública) y otra para abrir ese seguro (la privada), no se puede utilizar una para realizar la función de la otra.🔑

El servidor utiliza la llave privada para cifrar el mensaje y generar la firma.
El cliente, que va a utilizar el token utiliza la llave publica (que se la envia el servidor) se utiliza para válidar la firma del token.
La llave publica solo sirve para comprobar que el token es válido, no sirve para firmarlo, solo es posible hacerlo con la llave privada.
Por este motivo, si se llegan a robar la llave pública, no hacen nada con ella, pues solo sirve para comprobar el token, nada más…🤡

HS256: 🔑 Un algoritmo de cifra simétrico. Es decir, que se usa solo una llave para realizar la firma y comprobarla. Es como funcionan las llaves de los candados tradicionalmente, la misma llave sirve para poner y quitar el seguro.🔐

Si se llega a perder la llave, se puede utilizar para generar y firmar un token y suplantar a un cliente, así como si se pierden las llaves de la casa, pueden usar esa llave para abrir la puerta y entrar 😰

En conclusión: Si el dueño de la aplicación tiene control sobre el servidor y los clientes, puede usar el algoritmo HS256. Si no tiene control sobre los clientes, debe usar el algoritmo RS256.

Johan Avila

Este es el standard que se menciona
https://tools.ietf.org/html/rfc7517#section-4

Ronald Miller Andrade Lázaro

https://github.com/ronmiand/jwt-api-js

Challenge completado, no utilice bodyparser ya que se encuentra deprecated

Jordi Santamaría Portolés

A que se refiere con tener control sobre los clientes, el cliente es el navegador de un usuario no? como vas a tener control sobre su navegador…

John Orellana

hace 2 años

hola , conforme al reto del profe lo que hay que hacer es crear una llave privada y una publica las llaves serian estas de ejemplo:

y la otra seria la publica:

una vez hechas las vas a colocar en el archivo .ENV que creamos, ejemplo de las llaves : private_key = (la llave privada) y public_key = (la llave publica) estas llave tienen que tener comillas " "
luego agregarlas en el config para llamarlas luego.

luego harmos la peticion post para la private key
y para la publica la peticion get o veryficacion

luego iremos a postman para firmarla enviando en el body los respectivos cleim

al generarse la firma vamos a jwt.iote para debbuger colocamos la firma y usaremos la llave privada de nuestro archivo .env para verificar que la firma es valida y listo

de esa manera lo hice, disculpa por todo ese texto jajaja solo que me perdi en como resolver el reto y me costo el poder realizarlo espero que ayude 🤗

Elvis Salvatierra

listo! https://github.com/ismaelviss/oauth2
me base en parte de los ejemplos detallados en otros comentarios.

__victorisrael__

Cuando se hace la decodificacion en https://jwt.io/ lee que el algoritmo es RS256 y en la parte de VERYFY SIGNATURE da opcion de poner las dos llaves dependiendo el caso:

Public Key or Certificate. Enter it in plain text only if you want to verify a token
,
Private Key. Enter it in plain text only if you want to generate a new token. The key never leaves your browser.

David Vargas Domínguez

hace 5 años

Cuándo usar el algoritmo HS256 o RS256

Maria Angelica Romero Carrasco

Se puede usar un encriptado SHA512?

David Vargas Domínguez

hace 5 años

Cuándo usar HS256 o RS256

c3tuxpo2018

hace 5 años

OK nadie ha hecho el reto. veamos cuanto me demoro

Alvaro Gonzalez

Como se hace con un api, que se require consumir por los mobiles, apple, google etc, com se hace uso del Cors …?

pedrosalasgalindo

haber me dicen si mi idea esta correctamente de los jwt simetricos y asimetricos

los simetricos es la misma llave del lado del cliente y del lado del servidor por ejemplo una api rest que esta alimentando varios tipos de clientes como lo seria
una app en (android,ios) un website … etc a esto te refieres cuando mencionas le del cliente osea que tu eres dueño de cliente / servidor

los asimetricos es para que no tengas que darle a tus clientes osea a los que generaron las apps de (android,ios) el website o que estan cosumiendo tus servicios tu clave privada … lo que haces es generar una clave privada con la que generas los tokens y una clave publica a los que usaran tus servicios asi no hay riesgo de que alguien mas genere tus tokens

o me equivoco ?

Gleycer Parra

Si en el ejemplo anterior con la aplicación express hicimos uso de una generación de token simétrica (debido a que utilizamos sólo un JWT Secret), ¿en qué momento es este secret comprometido al cliente? Entiendo que este secret es únicamente manejado por el servidor y se hashea al generar el token, por ejemplo al no pasarle ningún algoritmo de firmado y guiandome por lo que dice jwt.io se utiliza HMACSHA256. Es decir que es básicamente imposible saber mi secret teniendo el token. O me equivoco?

__victorisrael__

Pueden generar sus llaves desde la terminal con openssl:

> openssl genrsa -out key.pem 1024
> openssl rsa -in key.pem -outform PEM -pubout -out public.pem

RetaxMaster