1

Существует веб-сервис авторизаций (A) и веб-сервис с секретной информацией (B). Существует веб-клиент, отправляющий POST-запрос на сервер A с логином и паролем. В случае успеха получает токен, который прикрепляет к запросам к сервису B. Сервис B считывает токен, и в случае валидности отдает секретную информацию на веб-клиент.

Вопрос: каким образом зашифровать токен, чтобы его нельзя было подделать на стороне веб-клиента? Какая логика должна быть на сервисах A и B, при условии, что они абсолютно не знают о существовании друг друга?

12
  • Если Вы зашифруете токен так, что веб-клиент не сможет его расшифровать, то как он будет вообще с ним работать? Или я не поняла вопрос...
    – Ella S.
    18 июл 2016 в 16:59
  • 1
    Несимметричное шифрование вам не нужно. Достаточно что бы токен в какой то своей части содержал информацию о пользователе и/или правах и срок действия в открытом или зашифрованном виде. Вторая часть токена должна быть на подобии электронной подписи. Например sha-1 сумма от первой части токена и некой секретной фразы которая известна только на серверах A и B. таким образом B всегда может проверить валидность токена проверив контрольную сумму. Без знания секретной фразы подделать токен невозможно
    – Mike
    18 июл 2016 в 17:39
  • 1
    Я как-то делала кросс-доменную авторизацию. Но там нужно было только при входе на сервисе В проверить пользователя, а дальше с пользователем работал уже сервис А. Если интересно, был такой алгоритм: Сервис А генерировал "транспортный токен", который отправлял на Сервис В. Сервис В принимал от пользователя логин-пароль и если авторизация успешна, то генерировал авторизационный токен, который отправлял на сервис А, который в свою очередь перепроверял запросом на сервис В валидность токена и сервис А признавал пользователя своим. Как-то так, всё в коммент не уместить...
    – Ella S.
    18 июл 2016 в 17:47
  • 1
    @MatveySafronov Фраза постоянна. Иначе как B поймет какая фраза нужна для проверки. А информацию о пользователе пусть подбираюст сколько хотят. Изменение любого бита этой информации ведет к необходимости правильно вычислить sha1, а без знания фразы это невозможно. Хотя конечно лучше зашифровать данные любым симметричным алгоритмом
    – Mike
    18 июл 2016 в 18:00
  • 1
    JWT? Взгляните.
    – user181100
    18 июл 2016 в 18:37

1 ответ 1

2

Сервис A и B имеют секретную фразу, которая смешивается с информацией о пользователе и преобразовывается в SHA-1 строку. Сервисы пишутся на nodejs, и я использовал пакет "jsonwebtoken".

На сервисе A мы генерируем jwt:

const SECRET_PHRASE = 'test';
let token = jwt.sign( { foo: 'bar' }, SECRET_PHRASE );
console.log( token ); // eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJmb28iOiJiYXIiLCJpYXQiOjE0Njg4Njg1MzJ9.WzCfkIs4BkavFUUzEBS62FT-W9ZOMUVfXiSaRF5J3H8

На сервисе B - декодируем:

let decoded = jwt.verify( token, SECRET_PHRASE );
console.log( decoded ); // { foo: 'bar', iat: 1468868532 }

Спасибо @Mike и @D-side

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.