Получение JWKS для Firebase в формате rfc7517 - PullRequest
Новая
       74

Получение JWKS для Firebase в формате rfc7517

0 голосов
/ 09 апреля 2019

Я использую Firebase для аутентификации пользователей в моем приложении. Firebase генерирует токен JWT, который мне нужен для аутентификации на моем сервере. Я использую tyk.io, чтобы сделать это. Tyk поддерживает эти токены, но требует, чтобы источник данных для открытых ключей был в формате https://tools.ietf.org/html/rfc7517.

Есть ли простой способ получить это прямо из Google / Firebase?

Я знаю, что могу получить ключи от https://www.googleapis.com/service_accounts/v1/metadata/x509/securetoken@system.gserviceaccount.com, но это не ожидаемый формат.

Я также могу получить jwk от https://www.googleapis.com/service_accounts/v1/jwk/securetoken@system.gserviceaccount.com, который является правильным форматом, но не содержит ключей (мне нужны ключи в поле X5c, поэтому цепочка сертификатов X.509)

1 Ответ

3 голосов
/ 10 апреля 2019

Как вы заметили, читая библиотеку Tyk на GitHub , Tyk решил поддерживать только ключи RSA, опубликованные в сертификате, в наборах JWK.

ПРЕДВАРИТЕЛЬНЫЕ ЗАМЕЧАНИЯ:

Ключ RSA, который Google использует для подписи веб-токена JSON, берется среди одного из двух ключей, опубликованных в https://www.googleapis.com/service_accounts/v1/jwk/securetoken@system.gserviceaccount.com

Эти два ключа - это те, которые используются для создания двух сертификатов на https://www.googleapis.com/service_accounts/v1/metadata/x509/securetoken@system.gserviceaccount.com

Обратите внимание, что эти сертификаты являются самозаверяющими, вот содержание одного из них: 

Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number: 4804715264884888226 (0x42adc713b25c52a2)
    Signature Algorithm: sha1WithRSAEncryption
        Issuer: CN=securetoken.system.gserviceaccount.com
        Validity
            Not Before: Apr  2 21:20:50 2019 GMT
            Not After : Apr 19 09:35:50 2019 GMT
        Subject: CN=securetoken.system.gserviceaccount.com
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
                Public-Key: (2048 bit)
                Modulus:
                    00:cc:7c:14:e6:5c:95:94:4b:95:74:0d:47:9d:e1:
                    [...]
                    60:d1
                Exponent: 65537 (0x10001)
        X509v3 extensions:
            X509v3 Basic Constraints: critical
                CA:FALSE
            X509v3 Key Usage: critical
                Digital Signature
            X509v3 Extended Key Usage: critical
                TLS Web Client Authentication
    Signature Algorithm: sha1WithRSAEncryption
    [...]

Как видите, эмитент имеет то же значение, что и субъект, поэтому цепочка сертификатов состоит из одного самозаверяющего сертификата. Это означает, что вы не можете проверить действительность этого сертификата с помощью центра сертификации: не существует глобального известного центра сертификации, который подписал бы открытые ключи RSA от Google для создания этих сертификатов. Но сертификаты загружаются с помощью SSL / TLS с веб-сервера Google, который аутентифицирован сертификатом, подписанным GlobalSign, поэтому для загрузки сертификатов с использованием SSL / TLS достаточно убедиться, что эти сертификаты содержат ключи RSA, которые использует Google подписать JWT.

Сертификаты действительны только в течение нескольких недель и имеют пересекающийся период проверки, чтобы избежать перекосов часов, и есть механизм скользящего ключа, который применяется почти каждые две недели.

ОТВЕТЬТЕ НА ВАШ ВОПРОС:

Вам нужно создать источник открытого ключа для Google, чтобы он работал с Tyk: вы должны создать на сервере приложений документ, содержащий набор JWK. Мы предполагаем, что вы опубликуете этот набор JWK здесь: https://my -application-server.com / jwks.json

Итак, в вашем определении Tyk API, в секретном поле JWT, вам нужно указать URL этого набора JWK: https://my -application-server.com / jwks.json .

Для этого см. Часть о секретном поле JWT на этой странице: https://community.tyk.io/t/multiple-auth-schemes-for-single-api-definition/694/4

Вам необходимо обновлять этот документ каждую неделю, потому что Google действительно катит ключи примерно каждые две недели.

Этот документ может быть создан с помощью следующей команды оболочки с использованием только curl и процессора командной строки JSON с именем jq : 

curl -s 'https://www.googleapis.com/service_accounts/v1/metadata/x509/securetoken@system.gserviceaccount.com' | jq '[ to_entries | .[] | {alg: "RS256", kty: "RSA", use: "sig", kid: .key, x5c: (.value | sub(".*"; "") | sub("\n"; ""; "g") | sub("-.*"; "")) } ] | {"keys": .}'

Вот вывод этой командной строки: 

% curl -s 'https://www.googleapis.com/service_accounts/v1/metadata/x509/securetoken@system.gserviceaccount.com' | jq '[ to_entries | .[] | {alg: "RS256", kty: "RSA", use: "sig", kid: .key, x5c: (.value | sub(".*"; "") | sub("\n"; ""; "g") | sub("-.*"; "")) } ] | {"keys": .}'
{
  "keys": [
    {
      "alg": "RS256",
      "kty": "RSA",
      "use": "sig",
      "kid": "7d2f9f3fb83d6337497b6f7cd2cff4dfa5c2e8b8",
      "x5c": "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"
    },
    {
      "alg": "RS256",
      "kty": "RSA",
      "use": "sig",
      "kid": "ff1df5a15b5cf582b61a21385c0cfaedfdb6a748",
      "x5c": "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"
    }
  ]
}

Содержимое этого вывода должно быть сохранено в файле, соответствующем https://my -application-server.com / jwks.json

...