Étiquette : JWS
-
Signé, chiffré, ou les deux ? Choisir ce que doit être un JWT
Un jeton signé prouve qui l’a écrit. Un jeton chiffré cache ce qu’il dit. Ils répondent à des questions différentes, et la réponse n’est pas toujours « les deux ».
-
Comprendre les JSON Web Tokens : signer avec JWS
Une signature transforme deux objets JSON en quelque chose à quoi un destinataire peut se fier. Comment JWS fonctionne, quelles sont les trois parties d’un jeton compact, et pourquoi l’en-tête est protégé.
-
Confusion d’algorithme : quand alg vient du mauvais en-tête
Un seul étalement de tableau, et l’algorithme auquel se fie un vérificateur venait d’un en-tête que personne n’avait signé. GHSA-jc38-x7x8-2xc8, trouvée et corrigée dans le JWT-Framework.