Mã thông báo Web JSON an toàn trong API Web/MVC 6

Question

Các mối quan ngại về bảo mật: Theo số https://auth0.com/blog/2015/03/31/critical-vulnerabilities-in-json-web-token-libraries/, rất nhiều thư viện JWT sử dụng mã thông báo để xác định thuật toán chữ ký.

Đây là trường hợp sử dụng của chúng tôi: Chúng tôi muốn tạo cơ chế đăng nhập xác thực người dùng bằng thông tin đăng nhập khó (tên người dùng/mật khẩu) và sau đó trả về mã thông báo JWT với ví dụ: 3 ngày trọn đời. Mã thông báo phải chứa tên người dùng và chữ ký phải đảm bảo rằng mã thông báo không được "giả".

Bạn có thể sử dụng thư viện nào trong API Web/MVC 6? Điều quan trọng là thuật toán chữ ký có thể được xác định trên giải mã để tránh lỗ hổng.

Nếu có thể, chúng tôi muốn tránh tích hợp các thành phần OAuth phức tạp.

Answer 1

Tôi đang sử dụng thư viện System.IdentityModel.Tokens.Jwt và tôi vừa kiểm tra vấn đề này. Tôi tạo ra một mã thông báo và xác nhận nó trong một trong các thử nghiệm của tôi, sau đó tôi loại bỏ các signingCredentials mà thay đổi alg để không. JWT được tạo với "alg":"none"xác thực không thành công.

Dưới đây là cách tôi đang tạo ra các mã thông báo:

public string GenerateToken(SSOContext context, SignatureSettings settings) 
{ 
    var token = new JwtSecurityToken(
     issuer: "MyIssuer", 
     audience: "MyAudience", 
     claims: GetClaims(context), 
     //comment the below line to generate a 'none' alg 
     signingCredentials: new X509SigningCredentials(settings.Certificate), 
     notBefore: DateTime.UtcNow, 
     expires: DateTime.UtcNow.AddHours(1) 
     ); 

    return new JwtSecurityTokenHandler().WriteToken(token); 
} 

Khi tôi xác nhận các dấu hiệu tôi nhận được một ngoại lệ như mong đợi với thông điệp

IDX10504: Không thể để xác nhận chữ ký, dấu hiệu không có chữ ký :