Cuando un usuario se autentica con un id y contraseña por ejemplo, se manda esa información al servidor, si el servidor dice que las credenciales son correctas entonces crea un token
el token tiene tres partes, estas son header body y firma
Cuando el usuario haga una segunda solicitud, se tendrá que verificar que su token sea autentico y aquí es donde me confundo, tengo entendido que se hace con la firma que es la tercera parte del jwt pero no se muy bien como funciona esta validación,
¿Podrían darme un caso en el que alguien intercepta un mensaje al servidor y trata de hacer algo malicioso con dicho mensaje pero no puede porque se esta usando jwt?
Un caso que trate de hacerme en la mente fue que
un usuario recibe un token y dicho token es asi
{
tipo: jwt,
algoritmo:"SHA256"
}
.
{
id_usuario: 12,
clave: 123
}
.
{
header + body encriptados
}
Entonces alguien atrapa el jwt trata de modificar la clave y eso le llega al servidor, entonces al llegar al servidor lo que hace el server es hacer hash el header y body del cliente y compararlo con la firma? y si son iguales todo bien y si no es porque trataron de modificar la información del usuario durante la comunicación y entonces el token se vuelve invalido.
¿Funciona mas o menos así?
Describí cada una de las partes del token de esa forma para poder explicar mi duda mejor