JWT

Transcript

1. JWT
2. Vamos falar sobre: •Cookies •Tokens •JWT
3. COOKIES
4. Cookie •Fica salvo em arquivo ou base •Não tem um padrão •Sujeito a ataques CSRF
5. CSRF? •Cross-Site Request Forgery •(Falsificação de requisição entre sites)
9. TOKENS
10. Tokens
11. NossosTokens • São estão inseguros •São só um birlbirlbirl
12. JWT
13. JSONWEB TOKENS
14. JWT eyJhbGciOiJIUzI1NiIsInR5cCI6I kpXVCJ9.eyJzdWIiOiIxMjM0NT Y3ODkwIiwibmFtZSI6IkpvaG4g RG9lIiwiYWRtaW4iOnRydWV9. TJVA95OrM7E2cBab30RMHrH DcEfxjoYZgeFONFh7HgQ
15. JWT base64(cabeçalho) . base64(conteúdo) . hash( base64(cabeçalho), base64(conteúdo), “segredo” )
16. JWT { "alg": "HS256", "typ": "JWT" } . conteúdo . assinatura
17. JWT { "alg": "HS256", "typ": "JWT" } . { "sub": "3461", "name": "Alan", "admin": true } . assinatura
18. JWT { "alg": "HS256", "typ": "JWT" } . { "sub": "3461", "name": "Alan", "admin": true } . assinatura
19. JWT eyJhbGciOiJIUzI1NiIsInR5cCI6I kpXVCJ9 . { "sub": "3461", "name": "Alan", "admin": true } . assinatura
20. JWT eyJhbGciOiJIUzI1NiIsInR5cCI6Ikp XVCJ9 . eyJzdWIiOiIxMjM0NTY3ODkwIiwi bmFtZSI6IkpvaG4gRG9lIiwiYWRt aW4iOnRydWV9 . assinatura
21. JWT eyJhbGciOiJIUzI1NiIsInR5cCI6Ikp XVCJ9 . eyJzdWIiOiIxMjM0NTY3ODkwIiwi bmFtZSI6IkpvaG4gRG9lIiwiYWRt aW4iOnRydWV9 . assinatura
22. JWT eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXV CJ9 . eyJzdWIiOiIxMjM0NTY3ODkwIiwib mFtZSI6IkpvaG4gRG9lIiwiYWRtaW4i OnRydWV9 . TJVA95OrM7E2cBab30RMHrHDcEfxj oYZgeFONFh7HgQ
23. JWT eyJhbGciOiJIUzI1NiIsInR5cCI6I kpXVCJ9.eyJzdWIiOiIxMjM0NT Y3ODkwIiwibmFtZSI6IkpvaG4g RG9lIiwiYWRtaW4iOnRydWV9. TJVA95OrM7E2cBab30RMHrH DcEfxjoYZgeFONFh7HgQ
24. JWT •Padronizado •Compacto •Auto-contido •Seguro
26. O que significa JWT? JSON WEB TOKEN
27. Como evitar ataques CSRF? Não usar cookies para autenticação, gerar um token de proteção para cada requisição, etc.
28. Quais sãoas partes de um JsonWeb Token? Cabeçalho.Conteúdo.Assinatura
29. O que possomandarno conteúdo do JWT? Qualquer coisa, mas não muito!
30. Onde o Token está desprotegido? # Método URL Headers Corpo 1 GET http://site.com?token=secret 2 GET https://site.com?token=secret 3 POST http://site.com token=secret 4 POST https://site.com token=secret 5 GET http://site.com Authorization secret 6 GET https://site.com Authorization secret
31. Onde o Token está desprotegido? # Método URL Headers Corpo 1 GET http://site.com?token=secret 2 GET https://site.com?token=secret 3 POST http://site.com token=secret 4 POST https://site.com token=secret 5 GET http://site.com Authorization secret 6 GET https://site.com Authorization secret
32. FIM! HTTPS://JWT.IO/