node auth0 jwtの検証が失敗する

Question

auth0(https://auth0.com/)を使ってjwtを用いたログイン機能を作っています。
ログイン、ログアウト自体は正常にできるのですが、作成されたjwtをverifyメソッドで検証すると下記のエラーが返って来ます。

JsonWebTokenError {name: "JsonWebTokenError", message: "invalid algorithm", stack: "JsonWebTokenError: invalid algorithm↵    at eval (…ode_modules/redux-saga/es/internal/proc.js:398:7)"}

verifyメソッド
https://github.com/auth0/node-jsonwebtoken#jwtverifytoken-secretorpublickey-options-callback

作成されたjwtはjwt.io(https://jwt.io/)のencodedに入れると正常にデコードされます。

コードは以下です。

// auth0の管理画面のClient Secretの値を環境変数AUTH0_SECRETに入れています。
var secret = new Buffer(process.env.AUTH0_SECRET, 'base64');

// jwtはローカルストレージにid_tokenという名前で保存しています。
jwt.verify(localStorage.getItem('id_token'), secret, (err, decoded) => {
  console.log(err);　// JsonWebTokenErrorが発生する
  console.log(decoded);
});

// jwtのデコードはちゃんとできる
const decode = jwt.decode(localStorage.getItem('id_token')); // no error

何か原因がわかりますでしょうか？
よろしくお願いいたします。

Answer 1

jwtの署名のアルゴリズムにRS256を用いている場合は公開鍵を用いて検証を行う必要があるらしく、以下のurlを参考にしたところ検証が成功するようになりました。

https://auth0.com/blog/navigating-rs256-and-jwks/
https://github.com/sgmeyer/auth0-node-jwks-rs256

auth0のjwks(https://auth0.com/docs/jwks)のエンドポイントを叩くと手に入るx5cを用いて、公開鍵を生成し、それをjwt.verifyの引数に渡したところ、検証が通るようになりました。

    const token = jwt.decode(localStorage.getItem('id_token'), {
      complete: true
    });
    const { kid } = token.header;
    const { data: jwks } = yield axios.get(
      `https://${process.env.AUTH0_DOMAIN}/.well-known/jwks.json`
    );

    let cert;
    const jwksKey = jwks.keys.find(key => key.kid === kid); //デコードされたjwtのkidとjwksのkidが一致するものを取得
    cert = jwksKey.x5c[0];
    cert = cert.match(/.{1,64}/g).join('\n');
    cert = `-----BEGIN CERTIFICATE-----\n${cert}\n-----END CERTIFICATE-----\n`;

    jwt.verify(localStorage.getItem('id_token'), cert, (err, decoded) => {
      console.log(err);
      console.log(decoded); // no error
    });

Answer 2

私の手元ですと以下のようなコードでも問題なく decoded が取得できました。

jwt.verify(localStorage.getItem('id_token'), process.env.AUTH0_SECRET, (err, decoded) => {
  console.info(err)
  console.info(decoded)
})

おそらく、引数の secret がBufferのインスタンスのまま渡しているのが問題かなと思います。したがって、引数を以下のように文字列に変換して渡すとどうでしょうか？

- jwt.verify(localStorage.getItem('id_token'), secret, (err, decoded) => {
+ jwt.verify(localStorage.getItem('id_token'), secret.toString('base64'), (err, decoded) => {

Comments

[pokotyan]

ご回答ありがとうございます！
どうやらsecretの値で検証をするのは署名のアルゴリズムがHS256の場合のようでした。
https://auth0.com/docs/api-auth/tutorials/verify-access-token#how-can-i-verify-the-signature-

[kkeeth]

なるほど、理解しました。勉強になりました。