14

Bearer Token に関していくつか質問があります。Protect(ticket)Owin では、次のようにチケットを保護できます。

ClaimsIdentity identity = new ClaimsIdentity(Startup.OAuthServerOptions.AuthenticationType);

identity.AddClaim(new Claim(ClaimTypes.Name, user.UserName));

 Dictionary<string, string> properties = new Dictionary<string, string>();
 properties.Add("UserId", user.Id);
 properties.Add("UserName", user.UserName);
 properties.Add("Role", "user");

 AuthenticationProperties properties = new AuthenticationProperties(properties);

 AuthenticationTicket ticket = new AuthenticationTicket(identity, properties);


 DateTime currentUtc = DateTime.UtcNow;

 DateTime expireUtc = currentUtc.Add(TimeSpan.FromHours(24));

 ticket.Properties.IssuedUtc = currentUtc;
 ticket.Properties.ExpiresUtc = expireUtc;


 string token = OAuthAuthorizationServerOptions.AccessTokenFormat.Protect(ticket)

トークンは次のようになります。

nqak-9R6U64Owsm_lqn_mJzKc_Djd8iVnIw0EX77v5x2rybhf4m_zg_UnrsoO5BxDZQl0HWrSvvd4efa4ChNSf5rAGhd13aOXZlvwOJOZ5v_9bhRCq8A7tqHyiM6DqVVOyYs3lh2SU-wU1m85HH2IcYDtdTY3ijaKZ_QnP1nsqO5LRnnEL4upbETPW9zqWIZzZBX7_Y2cXi2v0K7WnlRor3gFKIZlU9J-NfidRpWXqq5744NfWWHalYADGS7eUWyuxPJCj9ykHYzaXFksJEXBw

私の質問:

  • このトークンはどのように生成/暗号化されますか?

  • 誰かがトークンを台無しにして、カスタム クレームを追加しようとする可能性はありますか?

例：

トークン文字列がある場合、これを行うことができます：

AuthenticationTicket ticket = OAuthAuthorizationServerOptions.AccessTokenFormat.Unprotect(token);

これで、カスタム クレームを追加できます。たとえばrole、値userを持つクレームがある場合、そのクレームを変更して追加adminし、チケットを再エンコードすると、管理者ロールを持つトークンを取得できます。

実際にいくつかのテストを行い、サーバーでトークンをエンコードしてから、別のシステムでそれを変更しようとしましたが、できませんでしUnprotectた。したがって、チケットは、最初に作成されたマシンキーを使用して暗号化/復号化されている可能性があると考えています。Unprotectただし、同じマシンから実行しようとすると動作します。復号化して変更できます。

誰かがこのプロセスを説明できますか?

4

1 に答える 1

16

このトークンはどのように生成/暗号化されますか?

データ保護プロバイダーはSetDataProtectionProvider、オブジェクトの拡張メソッドを使用して設定できIAppBuilderます。これが行われない場合、ホストのデータ保護プロバイダーが使用されます。IIS + ASP.NET の場合、これはMachineKeyDataProtectorアセンブリにありMicrosoft.Owin.Host.SystemWebます。セルフホスティングの場合、これは DPAPI になります。基本的に、トークンは暗号化されてから MAC 処理され、それProtect()がすべてです。

誰かがトークンを台無しにして、それにいくつかのカスタム > クレームを追加しようとする可能性はありますか?

いいえ、できません。マシンで保護されたトークンは、他の場所で保護を解除することはできません。これに対する例外は、複数のマシンがある Web ファームの場合です。1 台のマシンが保護でき、その後の要求が他のマシンに送信された場合、そのマシンは保護を解除できる必要があります。DPAPI では、これは不可能です。では、すべてのマシンでMachineKeyDataProtector同じmachineKeyセクションを使用することでこれが可能になります。しかし、MITMがこれを行うことができることを懸念している場合は、いいえ、それは不可能です.

于 2014-08-19T03:45:03.827 に答える