jwt 서명과 검증의 개념, 실제구현과정

Question

안녕하세요. 소셜 로그인을 구현하고 있습니다. 애플로 로그인을 구현하고 있는데 JWT를 받아서 애플이 요구하는 조건을 증명해야합니다. 그중 하나가 Verify the JWS E256 signature using the server’s public key 서명을 증명하라는데 여기에 대한 정확한 의미를 제가 제대로 이해하고 있는지 궁금해서 질문을 합니다. 1. jwt에서 '서명한다' 라는 뜻이 비밀키로 암호화 하는 과정이고'검증한다' 라는 말이 공개키를 받아서 signature를 복호화하여 기존의 payload와 header와 값이 같은지비교하는 것인가요??아니면 header와 payload를 공개키로 암호화하여 기존의 signature와 같은지 비교하는게 검증하는 과정인가요?? 2. 서명은 암호를 만드는 사람이 하는거고, 서명을 검증하는 것은 공개키를 받는 사람이 하는건가요?? id_token이 jwt입니다. SignedJWT signedJWT &#61; SignedJWT.parse(id_token); String publicKeys &#61; HttpClientUtils.doGet(&#34;https://appleid.apple.com/auth/keys&#34;); ObjectMapper objectMapper &#61; new ObjectMapper(); Keys keys &#61; objectMapper.readValue(publicKeys, Keys.class); for (Key key : keys.getKeys()) { RSAKey rsaKey &#61; (RSAKey) JWK.parse(objectMapper.writeValueAsString(key)); RSAPublicKey publicKey &#61; rsaKey.toRSAPublicKey(); JWSVerifier verifier &#61; new RSASSAVerifier(publicKey); if (signedJWT.verify(verifier)) { System.out.println(&#34;복호화 성공&#34;); } }구글링을 통해 위와 같은 코드를 발견하여 사용하고 있습니다. 그런데 위의 코드는 서명관련된 클래스가 모든 일을 처리해주니 어떻게 돌아가는지 이해하기 어려워 공개키를 통해 직접 복호화 해봤습니다. String[] tokens &#61; id_token.split(&#34;[.]&#34;); Decoder decoder &#61; Base64.getDecoder(); byte[] decodedBytes &#61; decoder.decode(tokens[0]); String header &#61; new String(decodedBytes); JSONParser parser &#61; new JSONParser(); Object obj &#61; parser.parse(header); JSONObject jsonObj &#61; (JSONObject) obj; String kid &#61; (String) jsonObj.get(&#34;kid&#34;); String alg &#61; (String) jsonObj.get(&#34;alg&#34;); String publicKeys &#61; HttpClientUtils.doGet(&#34;https://appleid.apple.com/auth/keys&#34;); ObjectMapper objectMapper &#61; new ObjectMapper(); Keys keys &#61; objectMapper.readValue(publicKeys, Keys.class); for (Key key : keys.getKeys()) { if(kid.equals(key.getKid()) && alg.equals(key.getAlg()) ) { byte[] nBytes &#61; Base64.getUrlDecoder().decode(key.getN()); byte[] eBytes &#61; Base64.getUrlDecoder().decode(key.getE()); BigInteger n &#61; new BigInteger(1, nBytes); BigInteger e &#61; new BigInteger(1, eBytes); RSAPublicKeySpec publicKeySpec &#61; new RSAPublicKeySpec(n, e); KeyFactory keyFactory &#61; KeyFactory.getInstance(key.getKty()); PublicKey publicKey &#61; keyFactory.generatePublic(publicKeySpec); Claims claims &#61; Jwts.parser().setSigningKey(publicKey).parseClaimsJws(id_token).getBody(); // 여기서 검증 필요??? } } 3.위의 과정이 서명을 검증하는 과정이 맞는지 궁금합니다. 여기서 궁금한점이 하나 더 생기는데 4. 공개키를 통해 복호화에 성공한 경우 기존의 payload, hearder와 값이 같은지 따로 구현을 해야하나요??지금 바로위의 코드가 signature를 복호화한 과정이 맞는거죠??

skrevolve · Accepted Answer

네전달받은 JWT의 시그니처를 공개키로 복호화 하여 값이 동일한지 확인합니다시그니처는 SHA256를 비밀키로 암호화 한값이기때문입니다https://jwt.io 에 가면 직접만들어볼수도있어요

akjasdc · Answer

네 감사합니다. 큰 도움이 되었어요.

jwt 서명과 검증의 개념, 실제구현과정

2개의 답변

#signature 목록