JWS のバックアップ(No.10)

参考 : OpenID Connect の署名検証 - Carpe Diem
http://christina04.hatenablog.com/entry/2015/01/27/131259
- 検証方法①：Googleの検証用エンドポイントを利用する
- 検証方法②：IdP（Google）の提供している公開鍵を使って自分で検証する
  - 公開鍵①：JWK（JSON Web Key）を使う
  - 公開鍵①：X.509証明書を使う

↑

詳細 †

↑

表現(エンコード) †

構成要素（ヘッダ、ペイロード（クレームセット）、署名）を以下のように表現(エンコード)したもの。
以下の２つの表現(エンコード)方法があり、どちらでも、構成要素は、base64urlでエンコードされる。

↑

JWS Compact Serialization †

多くの場合は、この表現(エンコード)。

署名付きのデータを JSON (の Base64 URL Encode) 形式で表現する。
「Base64」ではなく「Base64 URL」なので「=」は含まれない。

例

ヘッダ.ペイロード（クレームセット）.署名

BASE64URL (UTF-8 (Header))
.
BASE64URL (UTF-8 (Claim Set))
.
BASE64URL (UTF-8 (Signature))

※ 殆どの場合、こちらが使用されている。

↑

JWS JSON Serialization †

あまり市民権を獲得しているようには思えない表現(エンコード)。
- pure な JSON として表現されるフォーマット
- URL-Safe でもなければコンパクトでもない。
- MACや署名を複数持てるといった違いがある。

Syntax

"protected" = BASE64URL(UTF8(保護ヘッダ))

"signatures"

"header" = 非保護ヘッダ（JSON）
"payload" = BASE64URL(ペイロード（クレームセット）)

"signature" = BASE64URL(署名)

    {
     "payload":"<payload contents>",
     "signatures":[
      {"protected":"<integrity-protected header 1 contents>",
       "header":<non-integrity-protected header 1 contents>,
       "signature":"<signature 1 contents>"},
      ...
      {"protected":"<integrity-protected header N contents>",
       "header":<non-integrity-protected header N contents>,
       "signature":"<signature N contents>"}]
    }

Example

Complete JWS JSON Serialization Representation

    {
     "payload":
      "eyJpc3MiOiJqb2UiLA0KICJleHAiOjEzMDA4MTkzODAsDQogImh0dHA6Ly9leGF
       tcGxlLmNvbS9pc19yb290Ijp0cnVlfQ",
     "signatures":[
      {"protected":"eyJhbGciOiJSUzI1NiJ9",
       "header":
        {"kid":"2010-12-29"},
       "signature":
        "cC4hiUPoj9Eetdgtv3hF80EGrhuB__dzERat0XF9g2VtQgr9PJbu3XOiZj5RZ
         mh7AAuHIm4Bh-0Qc_lF5YKt_O8W2Fp5jujGbds9uJdbF9CUAr7t1dnZcAcQjb
         KBYNX4BAynRFdiuB--f_nZLgrnbyTyWzO75vRK5h6xBArLIARNPvkSjtQBMHl
         b1L07Qe7K0GarZRmB_eSN9383LcOLn6_dO--xi12jzDwusC-eOkHWEsqtFZES
         c6BfI7noOPqvhJ1phCnvWh6IeYI2w9QOYEUipUTI8np6LbgGY9Fs98rqVt5AX
         LIhWkWywlVmtVrBp0igcN_IoypGlUPQGe77Rw"},
      {"protected":"eyJhbGciOiJFUzI1NiJ9",
       "header":
        {"kid":"e9bc097a-ce51-4036-9562-d2ade882db0d"},
       "signature":
        "DtEhU3ljbEg8L38VWAfUAqOyKAM6-Xx-F4GawxaepmXFCgfTjDxw5djxLa8IS
         lSApmWQxfKTUJqPP3-Kg6NU1Q"}]
    }

JWS Using Flattened JWS JSON Serialization
MACや署名が 1 つのみの場合は Flattened JWS JSON Serialization を使える。

    {
     "payload":
      "eyJpc3MiOiJqb2UiLA0KICJleHAiOjEzMDA4MTkzODAsDQogImh0dHA6Ly9leGF
       tcGxlLmNvbS9pc19yb290Ijp0cnVlfQ",
     "protected":"eyJhbGciOiJFUzI1NiJ9",
     "header":
      {"kid":"e9bc097a-ce51-4036-9562-d2ade882db0d"},
     "signature":
      "DtEhU3ljbEg8L38VWAfUAqOyKAM6-Xx-F4GawxaepmXFCgfTjDxw5djxLa8IS
       lSApmWQxfKTUJqPP3-Kg6NU1Q"
    }

↑

保護ヘッダ・非保護ヘッダ †

JWS Compact Serializationの場合は、JOSEヘッダ ≒ 保護ヘッダ。
JWS JSON Serializationの場合は、JOSEヘッダ ≒ 保護ヘッダ and / or 非保護ヘッダ

↑

保護ヘッダ †

MACや署名によって完全性が保護されているヘッダ・パラメタを含むJSONオブジェクト。

JWS Compact Serializationの場合、これはJOSEヘッダ全体で構成される。
JWS JSON Serializationの場合、
- これはJOSEヘッダの1コンポーネント。
- 用例を解析してみると、JOSEヘッダ中の"alg"パラメタが抽出されている。

↑

非保護ヘッダ †

完全性保護されていないヘッダ・パラメタを含むJSONオブジェクト。
これは、JWS JSON Serializationを使用する場合にのみ存在。
- JOSEヘッダの1コンポーネントであるが、
- こちらは、署名の作成には利用されない。
用例を解析してみると、JOSEヘッダ中の"kid"パラメタが抽出されている。

↑