Question

Я написал тестовый сценарий, с помощью которого я подписываю, а затем проверяю JWT с помощью алгоритма PS256.

Мой код успешно проверяет JWT, но в jwt.io * проверка не удалась1004 * отладчик.

Я использую jws@3.2.1.

Это происходит только при использовании алгоритма PS256, а не при использовании, например, RS256.

Я что-то не так делаю?

Я сгенерировал ключи с помощью:

openssl genpkey -algorithm RSA -out private_key2.pem -pkeyopt rsa_keygen_bits:2048
openssl rsa -pubout -in private_key2.pem -out public_key2.pem

Вы можете попробовать мой код на repl.it: https://repl.it/@SamArtuso/Nodejs-Signature-verification-PS256-succeeds-in-Nodejs

Код:

const { join } = require('path');
const { readFileSync } = require('fs');
const jws = require('jws');

const ALG = 'PS256';

/**********
 * SIGNING
 **********/

const PRIVATE_KEY_PATH = join(__dirname, './keys/private_key2.pem');

const privateKey = readFileSync(PRIVATE_KEY_PATH).toString();

const payload = {
  foo: 'bar',
};

const token = jws.sign({
  header: { alg: ALG },
  payload,
  privateKey,
})

console.log('Token:');
console.log(token);

/************
 * VERIFYING
 ************/

const PUBLIC_KEY_PATH = join(__dirname, './keys/public_key2.pem');

const publicKey = readFileSync(PUBLIC_KEY_PATH).toString();

const result = jws.verify(token, ALG, publicKey);
if (result) {
  console.log('Verification successful.');
} else {
  console.error('Verification failed.');
}

Закрытый ключ:

Открытый ключ:

Редактировать: Разъяснения о том, как воспроизвести мою проблему.

Запустите мой скрипт с: npm init -f && npm install jws && node test.js
Сценарий выведет токен и Verification successful.
Скопируйте и вставьте токен в поле «Кодированный»поле в jwt.io
Скопируйте и вставьте открытый ключ в поле «Открытый ключ или сертификат».
Внизу появляется красное сообщение «Недопустимая подпись».

Тниже приведен пример токена, который сгенерирует мой скрипт.Помните, что PS256 имеет вероятностную , а не детерминированную подпись, поэтому подпись будет отличаться при каждом запуске сценария.

eyJhbGciOiJQUzI1NiJ9.eyJmb28iOiJiYXIifQ.Rn6i-94ovuKOVRc2jzLVS40MpMmBkIfkyvF56JK3tM8wvg-DW943NNbXf01bhRdyoUj0A73NSQtz0kB4WfXN1uAH1omzNr0ww-iTfC23AX0OcjbsE7CcDz_ZQWWOzwEGGFVfV9ez5yn1pKRYVdFaKqApk3irP-ej_WGrrJfgeZVs683lNk0WjKOYhj6vsryuz52c0OEJ0UmYy7hSSfL38jgL6bdE0awg2DgiaU6qszZEkMjSnugoMobeAUUyOiXHsR79NryuhCQko-I9P1vKd1dEA3zM1iut5sW5FwB8K9Fi49gaQy0zHk72txJvUWdxW5ns0Svft3qLke5XMuqm2g

Golo Roden · Answer 1 · 02 марта 2019

Я попытался скопировать и вставить ваш токен, ваш открытый ключ и ваш закрытый ключ в отладчик jwt.io.Вот мои выводы:

Если вы только вставляете токен, токен декодируется правильно, но подпись не может быть проверена (что очевидно).
Если вы тогдавставьте открытый ключ (которого должно быть достаточно для проверки подписи), подпись все еще не может быть проверена.Это странно ?
Если затем вставить также закрытый ключ (который не требуется для проверки подписи), подпись будет действительной.

Итак, очевидно, все сводится к вопросу, почему подпись токена может быть проверена, только если предоставлен закрытый ключ ...

Это привело меня к предположению, что каким-то образом закрытый ключ и открытый ключ нене соответствуют друг другу.Поэтому я попытался восстановить (или, лучше сказать, извлечь) открытый ключ из предоставленного вами закрытого ключа и сравнить его с открытым ключом, который вы предложили.Итак, я вставил ваш закрытый ключ в файл с именем privateKey.pem и выполнил следующую команду:

$ openssl rsa -in privateKey.pem -pubout

Это дало мне следующий открытый ключ:

К сожалению, этоэто тот же открытый ключ, который вы предоставили, поэтому мы можем отметить эту мысль в нашем списке.

Итак, я начал искать в Интернете и нашел это сообщение в блоге от Auth0где они описывают введение поддержки алгоритмов PS*, но согласно документации все должно работать как положено.Хм, более странно ?

Итак, следующее, что я попробовал, было зашифровать вещи с помощью отладчика jwt.io, используя декодированные значения вашего токена, с алгоритмом PS256 и предоставленным вами закрытым ключом.Это привело меня к этому знак:

1033 * eyJhbGciOiJQUzI1NiJ9.eyJmb28iOiJiYXIifQ.wzkD7q5lH_qJw_V6DJLk72TDqpzA05KN3XHfEFOeAQgCriodoOLrgQ-p3ifIzK525puiV1hnXQuJ-6TEZRqiO8dqlPWQJbG1mLdTTx7ZwdUKsDjY6CMsmsskU8eVrzfaSDVmGvbjaWKq1_KGvtk4vMT0Z9m_YhUjD_SDVbCaZReEbzxta4APM7dMQ5mRFzD03JTwe05_AqayrfXdTungeBEJcMB0tY_4FjWiKbBZOpyQLebzPJ69VgpQFGvf6fPuKT6_3LTEHPrRNFL05OYpgRvayh3pEAF297aSCQ_SFi9slqDdVKkor-q8UDO-zM7J952uCkr7NkXV0Loq62_gMg 1035 * Если вы вставляете это лексема в отладчик jwt.io, ииспользуйте ваш открытый ключ, тогда подпись действительна.Итак, в основном PS256, кажется, работает с jwt.io, но по какой-то причине не для вашего токена ...

Это, наконец, приводит меня к мысли, что, возможно, Node.js и jwt.io действительно используют разные способызапустить алгоритм PS256.Конечно, поскольку это стандарт, оба должны работать одинаково, но, очевидно, они не работают.Я не знаю, кто из них делает это неправильно, или, если хорошо, что оба работают по-разному, так как раньше мне никогда не приходилось иметь дело с PS256.

Мне очень жаль, что у меня нетлучше ответить здесь, но я думаю, что единственный способ выяснить настоящую причину - это отладить криптографический код Node.js и взглянуть на исходный код jwt.io (который не является общедоступным, посколькуЯ знаю).

С моей точки зрения, то, что вы делаете, правильно, и я предпочел бы предположить, что это ошибка либо в Node.js, либо в jwt.io, либо в обоих ?

PS: После написания этого ответа я обнаружил эту проблему , и я предполагаю, что первоначальный автор - это вы (не так ли?), И ответ там в основном приходит к тому же выводу, чтоэто проблема сайта.Так что, возможно, это действительно лучший ответ, который вы можете получить.

Sohail · Answer 2 · 26 февраля 2019

Убедитесь, что вы правильно копируете ключи.

https://jwt.io/ требует, чтобы вы скопировали включающие теги BEGIN и END

----- НАЧАТЬ ПУБЛИЧНЫЙ КЛЮЧ -----

----- КОНЕЦ ОБЩЕСТВЕННОГО КЛЮЧА -----

Node.js: проверка подписи (PS256) успешно выполняется в Node.js, но не выполняется в отладчике jwt.io

Пожалуйста, войдите или зарегистрируйтесь чтобы ответить на этот вопрос.

Ответы [ 2 ]

Пожалуйста, войдите или зарегистрируйтесь что бы добавить комментарий.

Пожалуйста, войдите или зарегистрируйтесь что бы добавить комментарий.

Node.js: проверка подписи (PS256) успешно выполняется в Node.js, но не выполняется в отладчике jwt.io

Пожалуйста, войдите или зарегистрируйтесь чтобы ответить на этот вопрос.

Ответы [ 2 ]

Пожалуйста, войдите или зарегистрируйтесь что бы добавить комментарий.

Пожалуйста, войдите или зарегистрируйтесь что бы добавить комментарий.

Похожие темы