Token Web JSON sicuro in Web API/MVC 6

Question

I problemi di sicurezza: Secondo https://auth0.com/blog/2015/03/31/critical-vulnerabilities-in-json-web-token-libraries/ molte librerie JWT utilizzano il token stesso per determinare l'algoritmo per la firma.

Questo è il nostro caso d'uso: Vogliamo creare un meccanismo di accesso che convalida un utente con le credenziali rigide (nome utente/password) e quindi restituire un token JWT con ad es. 3 giorni di vita. Il token deve contenere il nome utente e una firma dovrebbe garantire che il token non possa essere "falsificato".

Quale libreria è possibile utilizzare in Web API/MVC 6? È importante che l'algoritmo della firma possa essere specificato sulla decodifica per evitare la vulnerabilità.

Se possibile, evitiamo di integrare componenti OAuth complessi.

Answer 1

Sto utilizzando la libreria System.IdentityModel.Tokens.Jwt e ho appena controllato questo problema. Ho generato un token e l'ho convalidato in uno dei miei test, quindi ho rimosso lo signingCredentials che modifica l'alg in none. Il JWT generato con la convalida "alg":"none"fallita.

Ecco come sto generazione del token:

public string GenerateToken(SSOContext context, SignatureSettings settings) 
{ 
    var token = new JwtSecurityToken(
     issuer: "MyIssuer", 
     audience: "MyAudience", 
     claims: GetClaims(context), 
     //comment the below line to generate a 'none' alg 
     signingCredentials: new X509SigningCredentials(settings.Certificate), 
     notBefore: DateTime.UtcNow, 
     expires: DateTime.UtcNow.AddHours(1) 
     ); 

    return new JwtSecurityTokenHandler().WriteToken(token); 
} 

Quando ho convalidare il token ottengo un'eccezione come previsto con il messaggio

IDX10504: Impossibile convalidare la firma, pedina non lo fa avere una firma :