2

Cuando un usuario se autentica con un id y contraseña por ejemplo, se manda esa información al servidor, si el servidor dice que las credenciales son correctas entonces crea un token

el token tiene tres partes, estas son header body y firma

Cuando el usuario haga una segunda solicitud, se tendrá que verificar que su token sea autentico y aquí es donde me confundo, tengo entendido que se hace con la firma que es la tercera parte del jwt pero no se muy bien como funciona esta validación,

¿Podrían darme un caso en el que alguien intercepta un mensaje al servidor y trata de hacer algo malicioso con dicho mensaje pero no puede porque se esta usando jwt?

Un caso que trate de hacerme en la mente fue que

un usuario recibe un token y dicho token es asi

{
tipo: jwt,
algoritmo:"SHA256"
}
.
{
id_usuario: 12,
clave: 123
}
.
{
header + body encriptados
}

Entonces alguien atrapa el jwt trata de modificar la clave y eso le llega al servidor, entonces al llegar al servidor lo que hace el server es hacer hash el header y body del cliente y compararlo con la firma? y si son iguales todo bien y si no es porque trataron de modificar la información del usuario durante la comunicación y entonces el token se vuelve invalido.

¿Funciona mas o menos así?

Describí cada una de las partes del token de esa forma para poder explicar mi duda mejor

1 respuesta 1

0

Es exactamente como explicas: Tienes un header que indica el algoritmo de encriptación usado, un body con la información que quieres enviar y una tercera parte que es la firma que asegura que lo anterior es correcto.

Por tanto, un token JWT típico tiene la forma:

base64UrlEncode(header) + "." + base64UrlEncode(payload) +
HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)

Por tanto la tercera parte no es un simple hash, es un hash del texto al que previamente se le ha aplicado un XOR con un texto secreto (contraseña, si quieres llamarlo así).

Asumimos que nadie externo al servidor que generó el JWT conoce este secreto, por tanto nadie podría fabricar un token válido.

Hay una página excelente, pero en inglés, para hacer pruebas con JWT: https://jwt.io/

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.