JWTの署名について

Question

JWTの署名はなぜ安全なのでしょうか？署名の生成方法はどのような方法があるのでしょうか？公開鍵とハッシュの二種類あるという記事がありましたが、公開鍵証明書を保管する認証局は必要ないのでしょうか？また、ハッシュの場合は誰でも同じ署名を生成できてしまいそうな気がするのですが、私はどの辺で勘違いをしているのでしょうか？

Comments

[maisumakun]

「どのような攻撃に対して」安全なのかを議論したいのでしょうか？

[mask_mus]

ハッシュについては勘違いしていましたが、公開鍵による署名において、公開鍵証明書がなければ偽の鍵のペアで署名を生成する事が出来てしまうのではないか、というところが疑問点です。

Answer 1

JWTの署名は通常公開鍵（暗号?）でもハッシュでもなく、HMACという方法を用います。HMACは鍵を使うので「誰でも同じ署名を生成できてしま」うことはありません。また、鍵はサーバー側で管理すればよく、認証局は必要ありません。そもそも鍵はサーバー単独で使うので、第三者に認証してもらう必要がありません。

Comments

[mask_mus]

JWTでは、ID+PASSのような認証情報にしか使われないのでしょうか？チャットメッセージやメール本文をJWTで署名するという使われ方はそもそもないのでしょうか？

[ockeghem]

そういう使い方は想定していないと思います

Answer 2

公開鍵証明書を保管する認証局は必要ないのでしょうか？

HTTPS経由（もちろん、それをするには認証局発行の証明書が必要）で公開鍵を配信する形としています。

Comments

[mask_mus]

ユーザ側は秘密鍵を持たないと言うことでしょうか？

[maisumakun]

はい。ユーザー側は送られたトークンを検証するだけです。

[mask_mus]

そもそものJWTの仕組みを理解できていなかったようです。
お手数おかけして申し訳ありませんが、JWTの仕組みについて教えていただけないでしょうか？

[ockeghem]

「JWTの仕組みについて教えていただけないでしょうか？」という要望に素直にお答えするのは難しいので、どの解説を読んで、その解説のどこがわからなかったかを、読んだ解説のURL等を示して再質問するとよいと思います。