0

estoy generando un token con php, con una clave privada y ese token se lo paso a otro sistema por url, y le paso la clave privada para que desencripte el token, pero no le pide la clave privada, quizá tenga u error conceptual. Así lo encripto:

  $privateKey = "sdasdas765asd76tasda7s";
                     $payload = array(
                            "iss" => "http://lapagina.com",
                            "aud" => "http://lapagina.com",
                            "user" => "josep",
                          "nombre" => "Jose",
                         "apellido" => "Perez",
                          "email" => "[email protected]",                                                        
                            "iat" => 1356999524,
                            "nbf" => 1357000000
                    );
                    $token = JWT::encode($payload, $privateKey,'RS256');

y yo desencripto asi:

 $decoded = JWT::decode($token,$privateKey, array('RS256'));

Pero es necesario poner la clave privada para desencriptar? me dice quien lo desencripta que no, es mas, el token generado lo pego en jwt.io y lo desencripta perfectamente sin poner la clave privada en ningun lado, creo que tengo un error de concepto no? gracias

1 respuesta 1

1

Json Web Token, se estructura en tres partes. Header (metadatos del algoritmo), payload (tu mensaje json) y un hash. Puedes comprobarlo aquí.

Una función hash tiene una entrada y te devuelve una cadena de rango finitio y con longitud fija.

introducir la descripción de la imagen aquí

Si se modifica un sólo byte, la información cambia y ahí radica su seguridad. JWT no deja de estar codificado en Base64, y lo puedes comprobar pegando tu Encode en esta página. La clave privada la tiene el servidor, que prepara el token y lo envía al cliente, este lo guarda y lo reenvía al servidor. Primero lo checkea, verifica y si es válido acpeta la petición.

¡No sive para encriptar!, si no para verificar la autenticidad del remitente.

Si quieres encriptar usa claves Pública/Privadas y algoritmos como SHA y RSA.

Para más información:
OpenWebinars

Infórmate sobre las buenas prácticas API RESTFUL.

4
  • Concepto API REST: Pides algo al servidor y lo autentificas con tu token "modificame el título de mi perfil por este", aquí tienes mi DNI (token) "borrame tal ajuste", aquí tienes mi DNI (token) y etc etc. el 20 may. 2020 a las 16:11
  • Claro, muchas gracias, que librería podría usar para encriptar/desencriptar que sea algún standar para que se pueda desencriptar tanto php, javascript, c# etc. Muchas gracias
    – Cribelo
    el 20 may. 2020 a las 17:01
  • Ya es la librería con la que te sientas más cómodo. Todos los lenguajes tienen un apartado de criptografía, por ejemplo Microsoft [docs.microsoft.com/es-es/dotnet/api/… JavaScript [gist.github.com/jo/8619441](librerías) el 20 may. 2020 a las 19:08
  • Claro, pero que me asegura que si yo encripto con php una cadena con una librería, esa cadena en c# con otra libreria sea desencriptada con éxito, porque es obvio que la librería de php es diferente a la de microsoft
    – Cribelo
    el 20 may. 2020 a las 21:17

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.