Estructura y firma de un JSON Web Token
Curso de OAuth 2.0 y OpenID Connect: Flujos de Autenticación y Casos de Estudio
Contenido del curso
Curso de OAuth 2.0 y OpenID Connect: Flujos de Autenticación y Casos de Estudio
Clase 7 de 25
Clase 7 / 25
Bryan Key
Juan Carlos Silva Vargas
Alvaro Eduardo Garzón Pira
Carlos Andreimy
Juan Marcelo Panasiti
Bryan Key
Alvaro Eduardo Garzón Pira
Alejandro Chavez
Anthony Yoel Matheus García
Sebastián Pereyra
Miguel Alejandro Caceres Pedraza
(perdon por lo que vas a leer a continuacion)
No me quedo taaaaan claro la clase, asi que aqui les va una explicacion, de como funciona JWT que es una tecnologia que aplicas a tu gusto (tiene estandares) para la "seguridad" o generacion te tokens cliente-servidor.
Primero entendamos que JWT es un string, SI un string sencillo que esta dividido en 3 separados por . Osea, header.payload.firma (LITERALMENTE) entonces, obvio cada parte la compone algo como esto:
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9 . eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9 . eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9
Que obviamente, esta enviado transformado a base64 que es una forma de (codificar) datos para que no sean legibles facilmente a la primera por un humano (si por pc)
Entonces, header tiene solamente 2 cosas si vemos el objeto traduccido:
{ "typ": "JWT", "alg": "HS256" }
Que son: El tipo de token (typ), que casi siempre es JWT y El algoritmo de firma (alg), como HS256 (HMAC con SHA-256) o RS256 (RSA con SHA-256).
LUEGO viene el payload, que usa "claims" o palabras clave que son ESTANDAR en el mundo que deben ser usados, estan los estandares para cosas especificas, los publicos y los privados, seria algo como asi:
{ "sub": "1234567890", "name": "John Doe", "admin": true, "iat": 1689072000, "exp": 1689075600 }
Eso, sencillo ahora viene la firma que solo es correr el algoritmo con la info previa metiada que es:
HMACSHA256( base64UrlEncode(header) + "." + base64UrlEncode(payload), clave\_secreta )``` Esto genera un hash que se convierte en la parte de la firma del JWT. Ejemplo de firma:
SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c
AHORAAA viene lo INTERESANTE, como SE yo que no fue manipulado (man in the middle) o bueno el choro de tu proveedor de internet para ver que carajos hay en ese JWT. Pues bien... Con esa firma, el servidor genera algo UNICO no puede ser modificado porque no te va a dar! Eso UNICO es la traduccion de lo antes enviado, yasta eso es todo eso es todo. Sigue no te rindas! Go ahead. 💚
Excelente resumen.
Hola tú
Si no te quedó muy claro que es un claim name, te dejo esta definición recolectada de múltiples fuentes:
¿Qué es un claim name? Son los nombres de los campos o propiedades dentro del token, un JWT es una estructura de datos en formato JSON que permite transmitir información de manera segura. Un token tiene headers, payload y la signature. El payload contiene los claims o afirmaciones, que son declaraciones sobre una entidad (usuario, dispositivo, etc) en metadatos adicionales a los de los header. Los más usados son sub, iss, exp e iat. Aquí en estos campos se envía información como identificador del usuario, emisor del token, fecha de expiración, etc. Cada claim name tiene un significado y una semántica definidos en las especificaciones de JWT, como el RFC 7519. Al validar un JWT, se verifica la presencia y el contenido de los claim names específicos para garantizar la autenticidad y autorización adecuadas.
Hace poco descubrí que Duolingo utiliza tokens sin vencimiento (al menos en la versión web)
Claro, porque ellos quieren que estes eternamente logueado, no manejan informacion sencible, son un sitio de solo consumo sin informacion personal.
Justo eso lo hice hace unos días en AWS, tenía un montón de tokens en las Cookies. También lo implementé hace pocos días.
listo
Herramienta: https://jwt.io/
