Bezpieczeństwo aplikacji webowych · Senior · Pytanie 34 z 75
Jak rotować klucze podpisu JWT bez wylogowania wszystkich?
- 1Trzymać klucze w tokenie, by serwer ich nie potrzebował
- 2Zmienić klucz i zrestartować wszystkie serwery w tej samej chwili
- ✓Poprawna odpowiedź: Publikować klucze w JWKS z wartościami
kid; podpisywać nowym kluczem i akceptować stary, dopóki jego tokeny nie wygasną
Wyjaśnienie
Weryfikatory szukają klucza po kid pod zaufanym adresem JWKS. Nigdy nie pobieraj kluczy z adresu podanego w samym tokenie (jku) bez ścisłych sprawdzeń.