Weryfikacja podpisu JWT przy użyciu punktu końcowego klucza publicznego

Chcę zweryfikować podpis niektórych JWT od firmy Microsoft. Używam Spring-Boot, biblioteki JJWT i następującego punktu końcowego: https://login.microsoftonline.com/common/discovery/v2.0/keys Weryfikacja podpisu JWT przy użyciu punktu końcowego klucza publicznego

Punkt końcowy zwraca tablicę kluczy publicznych JSON. Oto jeden przykład z tablicy.

{ 
      "kty": "RSA", 
      "use": "sig", 
      "kid": "9FXDpbfMFT2SvQuXh846YTwEIBw", 
      "x5t": "9FXDpbfMFT2SvQuXh846YTwEIBw", 
      "n": "kvt1VmR4nwkNM8jMU0wmj2gSS8NznbOt2pZI6Z7HQT_esF7W19GZR7Y72Xo1i5zXRDM9o3GeTIjBrnr3yy41Q_EaUQ7C-b-Hmg94Vy7EBZyBhi_mznz0dYWs2MIXwR86Nni9TmgTXvjgTPF2YGJoZt4TwcMFefW8rijCVyNrCBA0XspDouNJavvG0BEMXYigoThFjLRXS5U3h4BDfNZFZZS3dyliNOXfgRn2k7oITz8h_ueiPvmDRFh38AeQgx1cELhKWc3P5ugtttraSwgH7nP2NUguO9nCrHuL6TZ-KWpmRWZqwH-jYKFQVt3CDpzwNM6XJL-oHbl1x-gI3YYX5w", 
      "e": "AQAB", 
      "x5c": [ 
       "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" 
      ], 
      "issuer": "https://login.microsoftonline.com/{tenantid}/v2.0" 
     }

W JJWT I zostały wdrożone interfejsu SigningKeyResolver i jestem zobowiązany do zwrotu wystąpienie RSAPublicKey zrobić weryfikację. Problem, który mam, polega na poprawnym utworzeniu tego klucza z JSON.

Czy mogę zacząć od modułu i wykładnika?

BigInteger modulus = new BigInteger(1, Base64.decodeBase64(jsonKey.getN())); 
BigInteger exponent = new BigInteger(1, Base64.decodeBase64(jsonKey.getE())); 
publicKey = KeyFactory.getInstance("RSA").generatePublic(new RSAPublicKeySpec(modulus, exponent));

Czy mogę zacząć od x5c, wygenerować obiekt X509Certificate i wyciągnąć klucz PublicKey?

CertificateFactory factory = CertificateFactory.getInstance("X.509"); 
X509Certificate cert = (X509Certificate) factory.generateCertificate(new ByteArrayInputStream(DatatypeConverter.parseBase64Binary(jsonKey.getX5c()))); 
publicKey = (RSAPublicKey)cert.getPublicKey();

Oba podejścia okazały się bezowocne.

Jeśli wygenerowałem RSAPublicKey z modułu i wykładnika, czy powinienem móc wydrukować klucz zakodowany w Base64Binary w celu dopasowania do właściwości x5c? Może to nie jest sposób, w jaki powinienem walidować.

Mogę się nieporozumienie , jak korzystać z tego.

Jak zawsze, dokumentacja również jest doceniana.

Źródło

2017-06-19 Ryan D

nie wiem standard, ale oczywiście moduł jest "n" i wykładnik publiczny "e". x5c wygląda jak certyfikat x509. EDYCJA: [tutaj] (https://tools.ietf.org/html/rfc7517) wydaje się być specyfikacją. –

Właściwie wygląda na to, że drugie podejście działa, prawdopodobnie dlatego, że jest to łańcuch certyfikatów FULL. Wciąż nie jest dla mnie jasne, jaki jest związek między e, n i x5c, ponieważ jest on zwracany z tego punktu końcowego. Widzę, że inne punkty końcowe zawierają tylko łańcuch certyfikatów. Nie można znaleźć dokumentacji Microsoft wokół kluczy publicznych. –

x5c zawiera łańcuch certyfikacji. Pierwszy certyfikat łańcucha musi być zgodna z wartością klucza reprezentowanego przez inne wartości w JWK, w tym przypadku n i e, dlatego klucz publiczny pochodzących z x5c[0] a jeden zbudowany z n i e musi być dokładnie taka sama

Wartości JWK są kodowane w base64url, a nie w base64. Zmień

BigInteger modulus = new BigInteger(1, Base64.decodeBase64(jsonKey.getN())); 
BigInteger exponent = new BigInteger(1, Base64.decodeBase64(jsonKey.getE()));

BigInteger modulus = new BigInteger(1, Base64.getUrlDecoder().decode(jsonKey.getN())); 
BigInteger exponent = new BigInteger(1, Base64.getUrlDecoder().decode(jsonKey.getE()));

Źródło

2017-06-20 07:42:59 pedrofb

To pomaga! Podany moduł i wykładnik odpowiadają kluczowi publicznemu pierwszego certyfikatu w łańcuchu certyfikatów. Cały łańcuch jest potrzebny do zweryfikowania podpisu, a nie tylko mod i exp, jak początkowo próbowałem. –

Weryfikacja podpisu JWT przy użyciu punktu końcowego klucza publicznego

Odpowiedz

Powiązane problemy