JWS のバックアップ(No.14)

証明書をサポートする場合
- x5u（X.509 URL）ヘッダ・パラメタ
  PEMエンコーディング
- x5c（X.509証明書チェーン）ヘッダ・パラメタ
  DERエンコーディングのbase64url
- x5t（X.509証明書SHA-1拇印）ヘッダ・パラメタ
  DERエンコーディングのbase64url
- x5t＃S256（X.509証明書SHA-256拇印）
  DERエンコーディングのbase64url

その他のパラメタ
- typ
- cty

↑

TLS要件 †

"jku" and / or "x5u"ヘッダパラメタをサポートする実装は、TLSが必要。

↑

ペイロード（クレームセット） †

↑

署名 †

色々な暗号化アルゴリズムを使用して作成した署名
署名の検証キーの共有方法には以下の方法が有る。
- 検証用エンドポイントを使用する。
- JWKを使用する。
- X.509証明書を使用する。

参考 : OpenID Connect の署名検証 - Carpe Diem
http://christina04.hatenablog.com/entry/2015/01/27/131259
- 検証方法①：Googleの検証用エンドポイントを利用する
- 検証方法②：IdP（Google）の提供している公開鍵を使って自分で検証する
  - 公開鍵①：JWK（JSON Web Key）を使う
  - 公開鍵①：X.509証明書を使う

↑

詳細 †

↑

表現(エンコード) †

構成要素（ヘッダ、ペイロード（クレームセット）、署名）を以下のように表現(エンコード)したもの。
以下の２つの表現(エンコード)方法があり、どちらでも、構成要素は、base64urlでエンコードされる。

↑

JWS Compact Serialization †

多くの場合は、この表現(エンコード)。

署名付きのデータを JSON (の Base64 URL Encode) 形式で表現する。
「Base64」ではなく「Base64 URL」なので「=」は含まれない。

例
ヘッダ.ペイロード（クレームセット）.署名

BASE64URL (UTF-8 (Header))
.
BASE64URL (UTF-8 (Claim Set))
.
BASE64URL (UTF-8 (Signature))

※ 殆どの場合、こちらが使用されている。

↑

JWS JSON Serialization †

あまり市民権を獲得しているようには思えない表現(エンコード)。
- pure な JSON として表現されるフォーマット
- URL-Safe でもなければコンパクトでもない。
- MACや署名を複数持てるといった違いがある。

Syntax

"protected" = BASE64URL(UTF8(保護ヘッダ))

"signatures"

"header" = 非保護ヘッダ（JSON）
"payload" = BASE64URL(ペイロード（クレームセット）)

"signature" = BASE64URL(署名)

    {
     "payload":"<payload contents>",
     "signatures":[
      {"protected":"<integrity-protected header 1 contents>",
       "header":<non-integrity-protected header 1 contents>,
       "signature":"<signature 1 contents>"},
      ...
      {"protected":"<integrity-protected header N contents>",
       "header":<non-integrity-protected header N contents>,
       "signature":"<signature N contents>"}]
    }

Example

Complete JWS JSON Serialization Representation

    {
     "payload":
      "eyJpc3MiOiJqb2UiLA0KICJleHAiOjEzMDA4MTkzODAsDQogImh0dHA6Ly9leGF
       tcGxlLmNvbS9pc19yb290Ijp0cnVlfQ",
     "signatures":[
      {"protected":"eyJhbGciOiJSUzI1NiJ9",
       "header":
        {"kid":"2010-12-29"},
       "signature":
        "cC4hiUPoj9Eetdgtv3hF80EGrhuB__dzERat0XF9g2VtQgr9PJbu3XOiZj5RZ
         mh7AAuHIm4Bh-0Qc_lF5YKt_O8W2Fp5jujGbds9uJdbF9CUAr7t1dnZcAcQjb
         KBYNX4BAynRFdiuB--f_nZLgrnbyTyWzO75vRK5h6xBArLIARNPvkSjtQBMHl
         b1L07Qe7K0GarZRmB_eSN9383LcOLn6_dO--xi12jzDwusC-eOkHWEsqtFZES
         c6BfI7noOPqvhJ1phCnvWh6IeYI2w9QOYEUipUTI8np6LbgGY9Fs98rqVt5AX
         LIhWkWywlVmtVrBp0igcN_IoypGlUPQGe77Rw"},
      {"protected":"eyJhbGciOiJFUzI1NiJ9",
       "header":
        {"kid":"e9bc097a-ce51-4036-9562-d2ade882db0d"},
       "signature":
        "DtEhU3ljbEg8L38VWAfUAqOyKAM6-Xx-F4GawxaepmXFCgfTjDxw5djxLa8IS
         lSApmWQxfKTUJqPP3-Kg6NU1Q"}]
    }

JWS Using Flattened JWS JSON Serialization
MACや署名が 1 つのみの場合は Flattened JWS JSON Serialization を使える。

    {
     "payload":
      "eyJpc3MiOiJqb2UiLA0KICJleHAiOjEzMDA4MTkzODAsDQogImh0dHA6Ly9leGF
       tcGxlLmNvbS9pc19yb290Ijp0cnVlfQ",
     "protected":"eyJhbGciOiJFUzI1NiJ9",
     "header":
      {"kid":"e9bc097a-ce51-4036-9562-d2ade882db0d"},
     "signature":
      "DtEhU3ljbEg8L38VWAfUAqOyKAM6-Xx-F4GawxaepmXFCgfTjDxw5djxLa8IS
       lSApmWQxfKTUJqPP3-Kg6NU1Q"
    }

↑