Articles
Notes de version, choix de conception et notes prises au fil des bibliothèques.
-
La cérémonie d’authentification WebAuthn, et ce qu’il faut stocker
Se connecter est plus court que s’enregistrer, mais les contrôles sont tout aussi stricts. Ce que votre base doit contenir, et quoi faire du compteur de signature.
-
La cérémonie d’enregistrement WebAuthn, pas à pas
Ce qui se passe vraiment entre le clic sur « ajouter une clé de sécurité » et un authentifiant auquel vous pouvez vous fier. Six étapes, et les…
-
Un pont entre deux écosystèmes plutôt qu’une fourche
LexikJWTAuthenticationBundle s’occupe de l’authentification. JWT-Framework s’occupe de JOSE. Un pont fait cent lignes ; une fourche aurait été un second projet à maintenir.
-
Faire tourner les clés de signature sans casser personne
Une rotation de clés tient en quatre étapes et une période d’attente. Sauter la période d’attente est ce qui transforme une opération de routine en incident.
-
Signé, chiffré, ou les deux ? Choisir ce que doit être un JWT
Un jeton signé prouve qui l’a écrit. Un jeton chiffré cache ce qu’il dit. Ils répondent à des questions différentes, et la réponse n’est pas toujours « les…
-
Comprendre les JSON Web Tokens : vérifier correctement
Une signature valable est le premier contrôle, pas le dernier. Les revendications à vérifier, celles qu’on oublie, et l’ordre dans lequel le faire.
-
AES-GCM, et la seule chose à ne jamais faire avec
Le mode Galois Counter vous donne le chiffrement et l’authentification en une passe. Réemployez un nonce une seule fois et vous perdez les deux, définitivement.
-
Comprendre les JSON Web Tokens : choisir un algorithme
La RFC 7518 liste des dizaines d’algorithmes. En pratique le choix tient en trois questions, et en quelques noms qu’il faut cesser d’employer.
-
Encapsuler une clé n’est pas la chiffrer
AES Key Wrap existe parce que chiffrer une clé a des exigences que chiffrer un message n’a pas. Les RFC 3394 et 5649, en pratique.
-
Comprendre les JSON Web Tokens : les clés, avec JWK
Un format de clé qui voyage en JSON, des jeux de clés publiables, des empreintes qui identifient une clé par son contenu, et une rotation sans interruption.
-
Comprendre les JSON Web Tokens : chiffrer avec JWE
Le chiffrement cache la charge utile à tous sauf à son destinataire. Cinq parties au lieu de trois, deux clés au lieu d’une, et un vocabulaire à apprendre…
-
Comprendre les JSON Web Tokens : signer avec JWS
Une signature transforme deux objets JSON en quelque chose à quoi un destinataire peut se fier. Comment JWS fonctionne, quelles sont les trois parties d’un jeton compact, et…
-
Comprendre les JSON Web Tokens : la structure
Ce qu’est vraiment un JWT, pourquoi le format existe, quels standards le décrivent, et ce que contiennent ses deux objets JSON.
-
AEAD sans l’étiquette : une histoire de ChaCha20-Poly1305
L’étiquette d’authentification était calculée, puis jetée. Ce qui restait ressemblait à un AEAD et n’authentifiait rien. GHSA-6vvh-pxr4-25r7.
-
Un nombre, un déni de service : PBES2 et p2c
Un algorithme fondé sur un mot de passe laisse le jeton dire combien d’itérations exécuter. Rien ne disait que ce devait être un nombre raisonnable. GHSA-3prj-6hqw-cm82.