Recommandations JWT

👨🏻‍🍳 Marmicode.fr 👨🏻‍💻 Consulting & Code Review ✉️ Help!

Rechercher…

Recommandations JWT

Il faut utiliser des clés RSA pour la signature.
Il faut instaurer une rotation régulière et automatique des clés.
Les clés publiques doivent être publiées automatiquement également.
Etant donné que la rotation doit avoir une durée plus longue que la durée de vie des tokens, il faut réduire la durée de vie des tokens. (E.g. : l’implémentation OpenID Connect de Google semble appliquer une rotation de 3 à 4 jours mais je recommanderais une durée encore plus courte)
Pour réduire les risques, utilisez de nombreuses clés.
Idéalement, les clés secrètes ne devraient être manipulées que par des services dédiés hautement sécurisés avec des mécanismes de monitoring avancés type HSM (Hardware Security Module) ou KMS (Key Management Service).
Azure / AWS / GCP KMS
Key Vault | Microsoft Azure
Microsoft Azure
Key Management Service - Amazon Web Services (AWS)
Amazon Web Services, Inc.
Cloud Key Management  |  Google Cloud
Google Cloud
Exemple d'utilisation NodeJS / AWS
GitHub - jonathankeebler/jwt-kms: Sign and validate JWT tokens using keys stored in the AWS Key Management Service (KMS).
GitHub
Hashicorp's Vault Transit keys
...et non pas en simple KV Secret Engine
​https://www.vaultproject.io/api/secret/transit#sign-data

JWT comme mécanisme complémentaire
Les tokens JWT peuvent être utilisés comme mécanisme complémentaire d’un mécanisme de token classique. On peut wrapper des tokens dans un token JWT afin de vérifier rapidement leur validité et leur expiration avant de le vérifier auprès d’une base de données ou d’un tiers.

JWT, Authentification, Sessions et Risques Sécurité

OAuth 2

Dernière mise à jour 1yr ago

Copier le lien

Sommaire

Azure / AWS / GCP KMS

Exemple d'utilisation NodeJS / AWS

Hashicorp's Vault Transit keys

JWT comme mécanisme complémentaire