Sicherheit von Webanwendungen · Senior · Frage 34 von 75
Wie rotiert man JWT-Signaturschlüssel, ohne alle abzumelden?
- 1Die Schlüssel im Token speichern, damit der Server sie nicht braucht
- 2Den Schlüssel ändern und alle Server im selben Moment neu starten
- 3Schlüssel in einem JWKS mit
kidveröffentlichen und den alten eine Weile akzeptieren
Antwort zeigen
Richtige Antwort: Schlüssel in einem JWKS mit kid veröffentlichen und den alten eine Weile akzeptieren
Erklärung
Prüfer suchen den Schlüssel per kid aus einer vertrauenswürdigen JWKS-URL. Lade Schlüssel nie ohne strenge Prüfung von einer URL aus dem Token (jku).