Anatomía de un JWT

Clase 5 de 39 • Curso de Autenticación con Passport.js 2019

Clase anteriorSiguiente clase

Resumen

JWT es un estándar de la industria que nos permite manejar demandas de información entre dos clientes.

Rafael Guzmán Barranco

student•

Un JWT consta de tres partes generalmente divididas por punto, ejemplo:

eyJdudsjfhjdfdf.yudfndjfnjdfnsjfsfhsbfjsbd.nSDFsersfsdfsf (el gato me ayudó)

Header

Tiene 2 atributos:

El tipo que en este caso siempre debe ser JWT
El algoritmo de encriptación de la firma
- Asíncrono
  - Usan dos llaves de encriptación
    - Privada
      - Desencripta
    - Pública
      - Encripta
  - Se deben usar donde en partes públicas que puedan tener acceso a esta llave
- Síncrono
  - Usa la misma llave para
    - Encriptar
    - Desencriptar
  - Sólo se deben usar en el Backend

Payload

Guarda toda la información de:

Usuarios
Scopes de autorización,
Se componen de Claims
- Se representan por tres letras para mantener el JSon muy pequeño
- Tipos de Claims
  - Registered Claims (Tienen una defección propia y deben respetarse)
  - Public Claims (Son una lista que pueden usar y están definidos)
  - Private Claims (Son los que uno mismo defina para la aplicación)

Signature Hace poderoso al JWT y se compone por:

Header codificado
Payload codificado
Se emplea un Secret

Jasan Azael Hernández Bautista

student•

Hola, tal vez mis notas del curso te sean de mucha utilidad en esté proceso de aprendizaje: https://github.com/JasanHdz/passportjs/blob/master/notes/notes.md Te invito a hacer un fork y que sigas mejorando mi contenido, espero haberlos ayudado. :D

Jaime Ramos

student•

un JWT consta de tres partes generalmente divididas por punto: -header tiene 2 atributos, el tipo que en este caso siempre debe ser jwt y el algoritmo de encriptación de la firma -payload: se guarda toda la información de los usuarios incluso todos los scopes de autorización, esos payloads se componen de claims -signature:es el header codificado + el payload codificado,a todo esto se le aplica el algoritmo de encriptación usando un secret

Nixon Fernando Ortiz Suarez

student•

No sé si está mal el tema de algoritmos síncronos y asíncronos, por lo que he leido algo síncrono es cuando un evento ocurre de inmediato y algo asíncrono es algo que puede ocurrir en el futuro.

Mientras que los algoritmos simétricos de cifrado son aquellos que usan una llave para encriptar y desencriptar. A su vez, los algoritmos asimétricos son aquellos que usan dos llaves, con las cuales, se puede desencriptar o encriptar.

Enrique Devars

teacher•

Hola, tienes razón en lo de algoritmos de cifrado simétricos y asimétricos, pero esa es la forma en la que se denominan en español.

En inglés se suelen usar la definición de cifrado síncrono y asíncrono para denominar este tipo de operaciones.

Saludos.

Didier Zúñiga

student•

Alguíen podría por favor explicarme de manera sencilla que hace y como funciona realmente los Claims?

Oscar Rodrigo Leon Mojica

student•

los claims pueden contener

informacion del usuario, podria ser nombre, scopes (trata de no poner informacion sencible) (private claims)
informacion de la peticion (claim), para esto se usa los registered claims, iss(issuer), sub(subject), aud(Audience)
diferentes aplicaciones se podrian usar tu servicio y si fuera necesario, deberas definir unos claim para que la comunicacion sea efectiva(public claims), se aconseja que sigas el estandard de los registered claims

Miguel Martínez

student•

Encriptación Asincrona: Usa 2 llaves, una privada y otra pública. La publica se usa para encriptar y la privada para desencriptar es especialmente bueno cuando tenemos que enviar la llave por internet a otra parte.

Encriptación Síncrona: Usa una sola llave para encriptar y desencriptar. Es mas rápida que la encriptación asíncrona pero no es segura cuando toca mandar la llave por una red pública como el internet

JWT (JSON Web Token) Es un estandar para hacer demandas (peticiones) seguras entre dos partes. Consta de tres partes:

Header: contiener el algoritmo de encriptación y el tipo del token
Payload: contiene el claim y la info de nuestro usuario
Firma: Contiene el header + payload encriptado + un secret definido por nosotros

Wilson Fernando Antury Torres

student•

Los algoritmos síncronos se deben usar en el backend, y los algoritmos asíncronos en donde una de las partes sea publica.

Wilson Fernando Antury Torres

student•

Los algoritmos asíncronos usan dos llaves: La llave publica encripta la información y la llave privada desencripta la información.

David Behar

student•

Un JSON Web Token es un estandar que nos permite generar demandas entre 2 clientes de manera segura. . Un JWT está encriptado, pero tiene 3 partes principales divididas por '.' (punto) .

Header: Contiene los archivos de configuración (el tipo y el algoritmo de encriptación)
Payload: Guarda la información de nuestros usuarios
Signature: es la firma que contiene el header códificado más el payload códificado

Carlos Enrique Ramírez Flores

student•

Este articulo me parece muy importante y que da mucho valor para entender mejor el tema http://javadesde0.com/json-web-tokens-jwt/

Alejandro González Reyes

student•

He observado que los bancos, usan frecuentemente los tokens para realizar alguna acción en sus sistemas. Si tu decides generar tu estado de cuenta, ellos te envian un token a tu celular y posteriormetne lo ingresas en el website para continuar. ¿Tienen algún ejemplo de esto en Platzi?

Daniel Esteves

student•

No, actualmente no poseemos ningún ejemplo de esto pero a eso se le llama SMS Token y hay muchos servicios que te pueden ayudar a integrarlo n.n

Jhony Alexander Garcia Gómez

student•

Tercera parte de un JWT: La firma

Jesús Miguel Quinto Teran

student•

NOTAS

JWT (json web token)

JSON Web Token (JWT) es un estándar abierto que define una forma compacta y autónoma para transmitir información de forma segura entre las partes como un objeto JSON.

Esta información se puede verificar y confiar porque está firmada digitalmente.

Estructura

Los JWT se componen de 3 partes:

HEADER: Alg y typ
PAYLOAD: Claims (diccionario con informacion no sensible, preferiblemente corta)
SIGNATURE: header y payload encriptado

alg:

Algoritmo de encriptacion que puede ser Sincrono o Asincrono.

Algoritmo sincrono: Para Autentificacion en el backend Algoritmo asíncrono: Para Autentificacion con llave publica y privada.

Alfonso Navarro

company_admin•

Huy se pone cada vez mejor...

Jhony Alexander Garcia Gómez

student•

Primera parte de un JWT: Header

Jhony Alexander Garcia Gómez

student•

Segunda parte de un JWT: Payload

Jose Daniel Molina

student•

¿Que buen tema, se puede usar el algoritmo RSA en el Header o nada que ver?

Alejandro Palacios Arévalo

student•

tremendo, no tenía ni idea de que así funciona, excelente clase.

Cesar Augusto Silva Ruiz

student•

Excelente clase

Karen Paola Diaz Duarte

student•

Interesante. gracias!