JWTとOAuth2.0 のバックアップ(No.23) - マイクロソフト系技術情報 Wiki

[ トップ ] [ 新規 | 一覧 | 単語検索 | 最終更新 | ヘルプ ]

「マイクロソフト系技術情報 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。

戻る

目次 †

目次
概要
詳細

概要 †

JWTを使うOAuth 2.0についての纏め。
OAuth 2.0のセキュリティ上の解題を解決し認証での利用を可能にする。

詳細 †

Bearer TokenのJWT化 †

OAuth 2.0ではAccess Tokenまで仕様化されていないのでJWTアサーションを利用可能。

Access Tokenとして、JWTアサーションを使用すれば、
改竄、置換、CSRF（XSRF）などを検出できるようになるため、
Implicitグラント種別でもより安全に利用できるようになる。

OpenID ConnectのIDトークンに同梱されるクレームを
同梱させれば、ほぼ安全になり、認証用途にも利用できるようになる。

ClientやResource Serverでtokenの署名検証が可能になる。

また、発行者のAuthZ Server（iss:issuer）と
発行対象のClient（aud:audience＝クライアント識別子）を特定できる。

これにより、トークン置き換え攻撃も防ぐことができる。

ポイントは、このAccess Tokenは、ASP.NET Identityなどの
特定テクノロジを使用したResource Serverでなくても利用可能であるという点。

ASP.NET Identity †

Access Tokenのカスタマイズが可能。

ただし、（基本的には）Access Tokenのみがカスタマイズの対象なので、
OpenID Connectに対応させることはできない（IDトークンの追加はできない）。

参考
- JSON Web Token in ASP.NET Web API 2 using Owin - Bit of Technology
  http://bitoftech.net/2014/10/27/json-web-token-asp-net-web-api-2-jwt-owin-authorization-server/

Azure Active Directory †

この方式は、AzureADのOAuthでも利用されている模様。

参考 †

OAuth 2.0のAccess TokenへのJSON Web Token(JSON Web Signature)の適用 - r-weblife
http://d.hatena.ne.jp/ritou/20140927/1411811648

モバイルアプリのユーザ認証方法についてまとめてみた - Qiita
http://qiita.com/ledmonster/items/0ee1e757af231aa927b1
- 10 Things You Should Know about Tokens
  9. JSON Web Tokens can be used in OAuth: Bearer Token
  https://auth0.com/blog/ten-things-you-should-know-about-tokens-and-cookies/#token-oauth

クライアント認証 †

JWT bearer token authorizationグラント種別 †

Client Credentialsグラント種別の代替フロー
強化されたクライアント認証を使用してaccess_tokenを取得する。

リクエスト・レスポンス署名 †

JWT Secured Authorization Request (JAR) †

認可リクエストのパラメタをJWTで送信する機能。
これにより、許可要求の機密性、完全性が達成される。

JWT Secured Authorization Response Mode for OAuth 2.0 (JARM) †

認可レスポンスをJWTで送信する機能。
これにより、許可応答の機密性、完全性が達成される。

OpenID Connect †

Tags: :IT国際標準, :認証基盤, :ASP.NET Identity, :OAuth