JWT完全に理解しよう-公開鍵編-.pptx.pdf

Slide 1

Slide 1 text

JWT 完全に理解しよう ~公開鍵編~ @dach

Slide 2

Slide 2 text

Why speak Today?

Slide 3

Slide 3 text

Playback last Challenge corner JWT  ● 何ができるか：トークンを使ったセキュリティーの実現、自己完結型・安全   ● 何故必要か：JSONを構造化できる、シンプルかつわかりやすくするため   ● どのような時につかうか：ユーザー認証、改竄の有無を確認するため、   ● 初登場：  ● 開発者：  ● 特徴：  ○   ○     出典：公式サイト 

Slide 4

Slide 4 text

どげんかせんといかん Thinking

Slide 5

Slide 5 text

Today’s goal JWTを完全に理解する「為の技術を理解する」

Slide 6

Slide 6 text

Who is me? EasyEasy icon チキン南蛮 VRM ID: @dach JOB: Eng (PM / カイゼン屋) Twitter: i-dach qiita: i-dach

Slide 7

Slide 7 text

Learn JWT

Slide 8

Slide 8 text

At First

Slide 9

Slide 9 text

コンパクトな形式のJSONWeb Tokenは、ドット（.）で区切られた3つの部分で構成されています。 ● ヘッダ ● ペイロード ● 署名したがって、JWTは通常次のようになります。 xxxxx.yyyyy.zzzzz （公式サイトより） What's JWT structuer

Slide 10

Slide 10 text

JSON Web Token（JWT）はオープンスタンダード（RFC 7519）であり、当事者間で情報をJSONオブジェクトとして安全に送信するためのコンパクトで自己完結型の方法を定義しています。この情報はデジタル署名されているため、検証および信頼できます。JWT は、シークレット（HMACアルゴリズムを使用）またはRSAまたはECDSAを使用した公開鍵と秘密鍵のペアを使用して署名できます。（公式サイトより） What's JWT デジタル署名 Keywords シークレット RSA 公開鍵 / 秘密鍵

Slide 11

Slide 11 text

How to use 承認：これは、JWTを使用するための最も一般的なシナリオです。ユーザーがログインすると、後続の各リクエストにはJWTが含まれ、ユーザーはそのトークンで許可されているルート、サービス、およびリソースにアクセスできるようになります。シングルサインオンは、オーバーヘッドが小さく、さまざまなドメイン間で簡単に使用できるため、現在JWTを広く使用している機能です情報交換： JSON Web Tokenは、当事者間で情報を安全に送信するための優れた方法です。JWTは、たとえば公開鍵と秘密鍵のペアを使用して署名できるため、送信者が本人であると確信できます。さらに、署名はヘッダーとペイロードを使用して計算されるため、コンテンツが改ざんされていないことを確認することもできます。（公式サイトより）承認 Keywords シングルサインオン

Slide 12

Slide 12 text

デジタル署名 Keywords シークレット RSA 公開鍵 / 秘密鍵承認シングルサインオン

Slide 13

Slide 13 text

デジタル署名 Keywords シークレット RSA 公開鍵 / 秘密鍵承認シングルサインオン this

Slide 14

Slide 14 text

Next: Cryptography

Slide 15

Slide 15 text

Do you understand "Cryptography"? 秘伝のタレを継承をしたい...

Slide 16

Slide 16 text

Do you understand "Cryptography"? 口頭秘伝のタレは「りんご」を入れるんやええこと聞いたわ！

Slide 17

Slide 17 text

Do you understand "Cryptography"? 口頭秘伝のタレは「りんご」を入れるんやええこと聞いたわ！

Slide 18

Slide 18 text

Do you understand "Cryptography"? 口頭秘伝のタレは XXを入れるんや XXってなんやねん！

Slide 19

Slide 19 text

Other threats 盗聴改ざんなりすまし否認

Slide 20

Slide 20 text

Once upon a time... 出典： wikipedia(スタキュレー暗号)

Slide 21

Slide 21 text

Once upon a time... 出典： wikipedia(スキュタレー暗号) 棒（鍵）巻いた状態（平文）巻く前（暗号文）

Slide 22

Slide 22 text

Symmetric cryptograpy

Slide 23

Slide 23 text

Symmetric Cryptography 平文暗号文鍵暗号アルゴリズム鍵暗号アルゴリズム暗号文平文

Slide 24

Slide 24 text

What’s problem of Symmetric Cryptography ? 伝送秘タ「ご入ん伝レり」れやのはんをる鍵これで完璧や盗られても問題ないで

Slide 25

Slide 25 text

What’s problem of Symmetric Cryptography ? 伝送秘タ「ご入ん伝レり」れやのはんをるこの店長はスキュタレー暗号を使ってるな鍵これだったらブルートフォースアタックで楽勝や

Slide 26

Slide 26 text

What’s problem of Symmetric Cryptography ? 伝送秘タ「ご入ん伝レり」れやのはんをるこの経路で鍵さえ盗れば私の勝ち！鍵

Slide 27

Slide 27 text

Thinking 片方だけ渡せばええんちゃう？

Slide 28

Slide 28 text

What’s problem of Symmetric Cryptography ? 伝送なんやこれ、怖っ鍵秘タ「ご入ん伝レり」れやのはんをる

Slide 29

Slide 29 text

What’s problem of Symmetric Cryptography ? 伝送鍵秘タ「ご入ん伝レり」れやのはんをる鍵もろたでーｗ

Slide 30

Slide 30 text

Thinking どうすれば安全に鍵を渡せるだろうか...

Slide 31

Slide 31 text

Public-key cryptograpy

Slide 32

Slide 32 text

Public-key Cryptography 平文暗号文公開鍵暗号アルゴリズム秘密鍵暗号アルゴリズム暗号文平文鍵は２つとも私が作ります公開鍵

Slide 33

Slide 33 text

How will it get better? 伝送② 秘タ「ご入ん伝レり」れやのはんをる公開鍵伝送① 秘密鍵公開鍵秘伝のタレは「りんご」を入れるんや秘タ「ご入ん伝レり」れやのはんをる

Slide 34

Slide 34 text

How will it get better? 伝送② 秘タ「ご入ん伝レり」れやのはんをる公開鍵伝送① 秘密鍵公開鍵秘伝のタレは「りんご」を入れるんや秘タ「ご入ん伝レり」れやのはんをる 2つ盗れてもようわからんぞ

Slide 35

Slide 35 text

RSA 平文暗号文公開鍵 E, N 平文 mod N 秘密鍵 D, N 暗号文 mod N 暗号文平文 E D 大きな素因数分解と等価

Slide 36

Slide 36 text

Thinking 分析するのはしんどい... どうすればレシピがわかる？

Slide 37

Slide 37 text

man-in-the-middle attack 伝送② 秘タ「ご入ん伝レり」れやのはんをる公開鍵伝送① 秘密鍵公開鍵秘伝のタレは「りんご」を入れるんや秘タ「ご入ん伝レり」れやのはんをる公開鍵GET！ぼくの公開鍵

Slide 38

Slide 38 text

man-in-the-middle attack 伝送② 秘タ「ご入ん伝レり」れやのはんをる公開鍵伝送① 秘密鍵公開鍵秘伝のタレは「りんご」を入れるんや秘タ「ご入ん伝レり」れやのはんをるこれで自分の秘密鍵で復号できる！！

Slide 39

Slide 39 text

man-in-the-middle attack 伝送② 秘タ「ご入ん伝レり」れやのはんをる公開鍵伝送① 秘密鍵公開鍵お前はクビだお前はクビだついでに嘘の情報送ってやろw お前はクビだなんでや！！

Slide 40

Slide 40 text

Thinking どうすれば盗られても問題ない状態にできるのか...

Slide 41

Slide 41 text

Authentication Next time

Slide 42

Slide 42 text

Conclusion

Slide 43

Slide 43 text

Conclusion ● JWTを理解するには前提知識を理解しておく必要があるよ ● 対称暗号は強固だけど鍵配送に問題があるよ ● 公開鍵暗号だけだとman in the middleされたらバレちゃうよ

Slide 44

Slide 44 text

Thanks