Веб-безпека · Senior · Запитання 34 з 75
Як ротувати ключі підпису JWT, не виводячи всіх із системи?
- 1Зберігати ключі в токені, щоб серверу вони не були потрібні
- 2Змінити ключ і перезапустити всі сервери в ту саму мить
- ✓Правильна відповідь: Публікувати ключі в JWKS зі значеннями
kid; підписувати новим ключем і приймати старий, доки не спливуть його токени
Пояснення
Перевіряльники шукають ключ за kid у довіреній адресі JWKS. Ніколи не завантажуйте ключі з адреси, вказаної в самому токені (jku), без суворих перевірок.