Come vengono creati i token bearer (OAuth2)?

Question

Voglio sapere, qual è il processo interno per crittografare e decodificare un token Bearer utilizzato in OAuth2 e il codice in Asp.Net Identity.

Una volta che il server riceve un token, è in grado di recuperare UserId, ruoli, reclami e tutte le proprietà al suo interno. Quindi, come vengono decifrati i token Bearer? Che cos'è l'algoritmo di crittografia e il codice utilizzato?

Answer 1

Da dove si ottiene il token? I token sono raramente crittografati (a volte lo sono), ma saranno sempre codificati (e firmati). OpenID (un protocollo sopra OAuth2) utilizza JWT. OAuth2 (non OpenID) utilizza i token "opachi".

Vedere http://jwt.io per le librerie sulla decodifica di un JWT.

Answer 2

Ecco una risposta breve, tutto quello che ho tempo. OAuthBearerTokenOptions contiene il codice necessario per creare il token. Deve essere configurato nell'avvio di owin.

app.UseOAuthBearerAuthentication(OAuthBearerOptions); 

Dato che ...

var ticket = new AuthenticationTicket(identity, new AuthenticationProperties()); 
var currentUtc = new SystemClock().UtcNow; 
ticket.Properties.IssuedUtc = currentUtc; 
ticket.Properties.ExpiresUtc = currentUtc.Add(TimeSpan.FromMinutes(expirationMinutes)); 
string accessToken = oAuthBearerAuthenticationOptions.AccessTokenFormat.Protect(ticket); 

Answer 3

Ecco un po 'di Windows Form tool che decifra OAuth 2.0 portatore gettoni usando MachineKeyDataProtector.

Quindi, se l'app è ospitata in IIS, è possibile utilizzare lo strumento precedente.

OAuth 2.0 Bearertoken ottiene:

1. serializzato in formato binario

2. MachineKey criptato (DPAPI viene utilizzato quando app è self-hosted, ecc)

3. Base64 codificato