JSON ウェブトークン

JSON Web Token（JWT、推奨発音は/ dʒɒt /、単語「jot」と同じ^[1]）は、ペイロードにいくつかのクレームを主張するJSONを保持し、オプションの署名および/またはオプションの暗号化を使用してデータを作成するための提案されたインターネット標準です。トークンは、秘密鍵または公開/秘密鍵を使用して署名されます。

たとえば、サーバーは「管理者としてログイン」というクレームを持つトークンを生成し、それをクライアントに提供できます。クライアントは、そのトークンを使用して、管理者としてログインしていることを証明できます。トークンは、一方の当事者の秘密鍵 (通常はサーバーの秘密鍵) で署名できるため、その後はどの当事者もトークンが正当であるかどうかを確認できます。もう一方の当事者が、適切で信頼できる手段によって対応する公開鍵を所有している場合、彼らもトークンの正当性を確認できます。トークンは、特にWeb ブラウザーのシングル サインオン(SSO) コンテキストで、コンパクトで^[2] URLセーフで^{[3]使用可能になるように設計されています。JWT クレームは通常、認証されたユーザーの ID を}ID プロバイダーとサービス プロバイダーの間で渡すために、またはビジネス プロセスで必要なその他のタイプのクレームに使用できます。^{[4] [5]}

JWTはJSONベースの他の標準であるJSON Web SignatureとJSON Web Encryptionに依存しています。^{[1] [6] [7]}

ヘッダ

署名の生成に使用されるアルゴリズムを識別します。以下の例では、HS256このトークンが HMAC-SHA256 を使用して署名されていることを示しています。

使用される典型的な暗号化アルゴリズムは、SHA-256（HS256）を使用したHMACとSHA-256（RS256）を使用したRSA署名です。JWA（JSON Webアルゴリズム）RFC 7518では、認証と暗号化の両方についてさらに多くのアルゴリズムが導入されています。^[8]

{ 
"alg" : "HS256" 、"typ" : "JWT" }   
   

ペイロード

クレームのセットが含まれます。JWT仕様では、トークンに一般的に含まれる標準フィールドである7つの登録クレーム名が定義されています。^[1]トークンの目的に応じて、カスタムクレームも通常含まれます。

この例には、標準の Issued At Time クレーム ( iat) とカスタム クレーム ( loggedInAs) があります。

{ 
"loggedInAs" : "管理者" 、"iat" : 1422779638 }   
   

サイン

トークンを安全に検証します。署名は、Base64url エンコーディング RFC  4648 を使用してヘッダーとペイロードをエンコードし、ピリオド区切りで 2 つを連結することによって計算されます。次に、その文字列は、ヘッダーで指定された暗号化アルゴリズムにかけられます。この例では、共有シークレットを使用した HMAC-SHA256 を使用します (公開キー アルゴリズムも定義されています)。Base64urlエンコーディングはbase64に似ていますが、英数字以外の異なる文字を使用し、パディングを省略します。

HMAC_SHA256 (
シークレット、base64urlEncoding (ヘッダー) + '.' + base64urlEncoding (ペイロード) )  
     
  

3 つの部分はBase64url エンコーディング RFC  4648 を使用して個別にエンコードされ、ピリオドを使用して連結されて JWT が生成されます。

const token = base64urlEncoding (ヘッダー) + '.' + base64urlEncoding (ペイロード) + '.' + base64urlEncoding (署名)           

上記のデータと「secretkey」のシークレットによりトークンが作成されます。

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJsb2dnZWRJbkFzIjoiYWRtaW4iLCJpYXQiOjE0MjI3Nzk2Mzh9.gzSraSYS8EXBxLN _oWnFSRgCzcmJmMjLiuyu5CSpyHI=

(上記の json 文字列は、改行やスペースなしで、utf-8 バイト配列にフォーマットされています。データのわずかな変更でも結果のトークンに影響するため、これは重要です)

生成されたトークンはHTMLやHTTPに簡単に渡すことができます。^[3]

認証では、ユーザーが正常にログインすると、JSON Web Token (JWT) が返されることがよくあります。このトークンは、HTTP 専用の Cookieなどの安全なメカニズムを使用してクライアントに送信する必要があります。ローカル ストレージやセッション ストレージなどのブラウザー ストレージ メカニズムにJWT をローカルに保存することは推奨されません。これは、クライアント側で実行されている JavaScript (ブラウザー拡張機能を含む) がこれらのストレージ メカニズムにアクセスして、JWT を公開し、セキュリティを侵害する可能性があるためです。無人プロセスの場合、クライアントは、事前共有シークレットを使用して独自の JWT を生成して署名し、次のようにOAuth準拠のサービスに渡すことで直接認証することもできます。

POST /oauth2/token
コンテンツタイプ: application / x-www-form-urlencoded 

grant_type = urn:ietf:params:oauth:grant-type:jwt-bearer & assertion = eyJhb...

クライアントが有効な JWT アサーションを渡すと、サーバーはアプリケーションへの呼び出しに有効な access_token を生成し、それをクライアントに返します。

{ 
"access_token" : "eyJhb..." 、"token_type" : "Bearer" 、"expires_in" : 3600 }   
   
   

クライアントが保護されたルートまたはリソースにアクセスする場合、ユーザー エージェントは通常、スキーマを使用してAuthorization HTTP ヘッダーBearerで JWT を送信する必要があります。ヘッダーの内容は次のようになります。

承認: Bearer eyJhbGci ...<snip>... yu5CSpyHI

これはステートレス認証メカニズムであり、ユーザーの状態はサーバー メモリに保存されません。サーバーの保護されたルートは Authorization ヘッダーに有効な JWT があるかどうかを確認し、存在する場合は、ユーザーは保護されたリソースにアクセスできます。JWT は自己完結型であるため、必要な情報はすべてそこにあり、データベースを複数回クエリする必要性が減ります。

JWT 実装は、以下を含む多くの言語とフレームワークに存在します (ただし、これらに限定されません)。

JSONウェブトークンにはセッション状態が含まれる場合があります。しかし、プロジェクトの要件でJWTの有効期限が切れる前にセッションを無効にすることが許可されている場合、サービスはトークンのみによるトークンアサーションを信頼できなくなります。トークンに保存されているセッションが取り消されていないことを検証するには、トークンアサーションをデータストアに対してチェックする必要があります。これにより、トークンはステートレスではなくなり、JWTの主な利点が損なわれます。^[36]

セキュリティコンサルタントのティム・マクリーン氏は、一部のJWTライブラリに脆弱性があると報告した。この脆弱性は、algトークンを誤って検証するためにフィールドを使用しており、最もよくあるのはalg=noneトークンを受け入れることである。これらの脆弱性は修正されたが、マクリーン氏はalg同様の実装の混乱を防ぐために、このフィールドを完全に廃止することを提案した。^[10]それでも、新しいalg=none脆弱性は依然として発見されており、2018年から2021年の間に4つのCVEが提出され、この原因となっている。^{[37] [より良い情報源が必要]}

適切な設計により、開発者は予防策を講じてアルゴリズムの脆弱性に対処することができる: ^{[38] [39]}

1. JWTヘッダーだけで検証を行わない
2. アルゴリズムを知る（alg分野だけに依存しないようにする）
3. 適切なキーサイズを使用する

2017年にいくつかのJWTライブラリが無効な楕円曲線攻撃に対して脆弱であることが判明しました^。[40]

JSONウェブトークンは、標準で利用可能な暗号化アルゴリズムやオプションが多数あるため安全に使用するのが難しく、ウェブフロントエンド^{[41]とバックエンド[42]}の両方で代替の標準を使用するべきだと主張する人もいます。

• APIキー
• アクセストークン
• 基本アクセス認証
• ダイジェストアクセス認証
• クレームベースのアイデンティティ
• HTTP ヘッダー
• 簡潔なバイナリオブジェクト表現 ( CBOR )

• RFC  7519
• jwt.io – Auth0 が管理する、ツールとドキュメントを備えた JWT に関する専門 Web サイト