jwt translation #technight

JOSE + JWT 翻訳

OIDFJ 翻訳WG

http://openid-foundation-japan.github.ioOpenID, OAuth関連仕様翻訳

OIDFJ 翻訳WG

JSON Web Token (JWT)

JSON Web Signature (JWS)

JOSE UseCases

JWT in Production

OpenID Connect ID Token

YConnect, Google+ Sign-in

OAuth 2.0 JWT Bearer Token Profile

Salesforce, Windows Azure ActiveDirectory

Other APIs

Google Checkout, Twillio API, Mozilla Persona

GREEとかDeNAでも内部的にいろいろ使ってる

質問

JSON Web Token って聞いたことある人？

OpenID Connect のIdP / RP 実装したことある人？

OpenID Connect のIdP / RP 実装してみたい人？

ID & IT 2013 #ステマ

SAML の IdP/SP

実装したことある人？

CSV 万能？

SAML, The Enterprise

XML Signature / Encryption

しかし、XML亡き今...

XML Sig/Enc for JSON

JSON Web Encryption (JWE)

で、なにに使うの？

JOSE UseCases

多くのインターネット上のアプリケーションは, ネットワークレイヤーやトランスポートレイヤーでのセキュリティメカニズムに加えて, オブジェクトベースのセキュリティメカニズムを必要とする. かつてはCryptographic

Message Syntax (CMS) がASN.1に基づいたバイナリレベルでのセキュアオブジェクトフォーマットを提供していた. しかしながら時代の変化とともにASN.1のようなバイナリオブジェクトエンコーディングは時代遅れとなり, JSONなどのテキストベースエンコーディングが主流となった. 本ドキュメントでは, 現在実用化されている様々なアプリケーションレイヤーセキュリティメカニズムをもとに, JSONベースのセキュアオブジェクトフォーマットの各種ユースケースと要件をまとめる.

http://openid-foundation-japan.github.io/draft-ietf-jose-use-cases-03.ja.html

JOSE UseCases

JOSE の実際のユースケースのリストアップ

OpenID Connect, OAuth, XMPP など

JOSE が何に使えるのかをざっくり知れる

JOSE UseCases

JOSE 仕様に求められる要件をまとめたドキュメント

ユースケースごとに異なる要件を比較検討

JOSE ML で議論されてる内容のバックグラウンドを理解するにも有用

どんなフォーマットか見てみよう

JSON Web Token (JWT) は2者間でやりとりされるコンパクトで URL-safe

なクレームの表現方法である. JWT に含まれるクレームは JavaScript Object

Notation (JSON) オブジェクトとしてエンコードされ, JSON Web Signature

(JWS) のペイロードや JSON Web Encryption (JWE) の平文として利用される. JWS や JWE とともに用いることで, クレームに対してデジタル署名や

MAC を付与と暗号化の両方を行うことが可能となる.http://openid-foundation-japan.github.io/draft-ietf-oauth-json-web-token-11.ja.html

JSON で任意の主体に対する Claim の集合を表現

Claim = 属性

いくつかの予約済み Claim 名を定義

subject, audience などなど (SAML由来?)

JSON を URL-safe な形でコンパクトにエンコード

Base64 URL Encode して “.” でつなぐ

コンパクトにするためキー名は短縮型

謎の3文字縛り (“subject” => “sub” etc.)

で、これをセキュアに使うには？

JSON Web Signature (JWS)は, JavaScript Object Notation (JSON)をベースとしたデータ構造を用いて, デジタル署名やMessage Authentication Codes

(MACs)により保護されたコンテンツを表現するための手段である. 本仕様で使用する暗号アルゴリズムと識別子はJSON Web Algorithms (JWA) で述べられている. 関連する暗号化の機能は, JSON Web Encryption (JWE) で述べられている.

http://openid-foundation-japan.github.io/draft-ietf-jose-json-web-signature-14.ja.html

JSON Web Signature

“署名付きの JWT = JWS”

でだいたいあってる

JSON Web Signature

が、Payload を JSON に限定しないでなるべく General にしようとしている

JSON Web Signature

alg=RSA-SHA256 / HMAC-SHA256x

JWS Compact Serialization

の組み合わせだけ使えればとりあえずOK

その他の JOSE / JWT 関連仕様

JOSE / JWT Family

JSON Web Encryption

OAuth 2.0 JWT Bearer Token

JSON Web Algorithm

JSON Web Key

近日翻訳予定

http://openid-foundation-japan.github.io

jwt translation #technight

Technology

jwt (radamés aragón)

serverside es6@livesense technight

20090508 jwt+trta

microservices & jwt

20081124 jwt trta

ppt del technight

jwt - february 2015

jwt april 2013

jwt wellness consulting

jwt melb campaign_b_aoty2013

antebellum america jwt

jwt personality atlas

jwt security issues

jwt - february 2016

jwt anxiety index_uk_aug2011

oauth 2.0 updates #technight

gaming cicd-pipeline gaming-technight-2

jwt generation z

jwt presentation eng_june14

java workflow tooling (jwt) release review: jwt...