[S13L3] JSON Web Token (JWT)

Question 1

Woraus besteht ein JSON Web Token?

Answer 1

Aus 3 Teilen, die mit einem . Punkt unterteilt werden

• Header (Algorithm & Token Type)
• Payload (Data)
• Verify Signature (base64 encoding)

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.
eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZ
SI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.
SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

Question 2

Wie sieht der Header eines JWT aus?

Answer 2

{
“alt”: ‘GS256’,
“typ”: ‘JWT’,
}

Question 3

Wie sieht die Payload eines JWT aus?

Answer 3

{
"sub": "12345",
"name": "John Doe",
"iat": 12334timestamp
}

Question 4

Wie sieht die Verify Signature eines JWT aus?

Answer 4

HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),
  your-256-bit-secret
)

Question 5

Was sollte man für die Daten im JWT beachten?

Answer 5

• Die Datenmenge sollte immer so gering wie möglich bleiben

- Man sollte niemals Daten darin senden, welche eigentlich protected oder private sein sollten

Question 6

Sind JSON Web Tokens verschlüsselt?

Answer 6

• Nein, jeder kann diese lesen

- Sie sind nur signiert und es kann verifiziert werden, dass das Token echt ist

Question 7

Woher weißt der Server, dass der JWT nicht vom Client oder Mittelmännern manipuliert wurde?

Answer 7

-Durch die kryptographische Signature, welche die Daten genau so wie sie sind verifiziert mit einem secret