autentisering JWT begrippen

Vad står JWT för?

JWT står för JSON Web Token, en öppen standard för autentisering.

Fyll i: JWT består av ___ delar.

JWT består av tre delar: header, payload och signature.

Header: Vad innehåller den?

Headern specificerar algoritmen och token-typ. Exempel: {"alg": "HS256", "typ": "JWT"}.

Vad är payload?

Payloaden innehåller användardata och metadata. Den är dekodad men inte krypterad.

Vad är en signature?

Signature är en hash av headern och payloaden, säkerställer tokenens integritet.

Är JWT krypterad?

Falskt. JWT är inte krypterad, men kan signeras. Data är synlig.

Vad används JWT för?

JWT används för att autentisera användare och överföra information säkert mellan parter.

Jämför JWT och sessionsbaserad autentisering.

JWT är stateless och inte lagrad på servern, medan sessionsbaserad autentisering lagrar sessioner på servern.

Vad är en claim?

En claim är information som lagras i payloaden, exempelvis användar-ID eller roll.

Vad innebär 'expiration' i JWT?

'Expiration' är en claim som anger när tokenen slutar gälla, angivet med 'exp'.

Vad gör 'alg' i headern?

'alg' specificerar den kryptografiska algoritmen som används för signaturen, t.ex. HS256.

Fill in the blank: JWT kan skickas via HTTP ___.

JWT kan skickas via HTTP headers, oftast som 'Authorization'.

Vad är 'aud' i JWT?

'aud' är en claim som specificerar mottagaren av tokenen, vanligtvis en applikation eller tjänst.

Kort exempel på JWT-struktur.

Exempel: "header.payload.signature". Varje del är Base64Url-kodad.

Vad är en 'refresh token'?

En 'refresh token' används för att erhålla nya JWT utan att logga in igen.

Verklighet eller myt: JWT är alltid säkra.

Myt. JWT kan vara osäkra om de inte skyddas ordentligt, exempelvis genom HTTPS.

Säkerhetsaspekt av JWT

JWT innehåller fördelar som signering och verifiering av användarens identitet. Det hindrar obehörig åtkomst.

True or False: JWT är säker utan ytterligare åtgärder.

False. JWT måste alltid användas med HTTPS för att skydda mot avlyssning.

Vilken algoritm används för att signera JWT?

Vanligtvis används HMAC SHA-256 eller RSA. Välj algoritm beroende på applikationens behov.

Vad är 'expiration time' i JWT?

Det är ett tidsstämplar som anger när token blir ogiltig. Anges med 'exp' i payload.

JWT vs. sessions

JWT är stateless och lagras på klientsidan. Sessions lagras på servern och är stateful.

Fyll i luckan: JWT bör aldrig innehålla ______.

Känslig information, såsom lösenord eller kreditkortsnummer. Dessa bör alltid skyddas.

Vilket syfte har 'aud' i JWT?

'aud' står för 'audience' och avser den avsedda mottagaren av token. Viktig för verifiering.

Vad innebär 'token revocation'?

Det är processen att ogiltigförklara en JWT innan den når sitt utgångsdatum. Viktigt för säkerhet.

Vad är en 'public key' i JWT?

Det är en del av asymmetrisk kryptering som används för att verifiera signaturen på en JWT.

Bästa praxis för JWT-hantering?

- Använd HTTPS - Sätt utgångstid - Rotera hemligheter - Använd kortlivade tokens

Vad är 'claims' i JWT?

'Claims' är data som transporteras i JWT, som användaridentitet och behörigheter.

Vilken risk finns med man-in-the-middle attacker?

Dessa attacker kan stjäla tokens om de inte skickas över en säker kanal som HTTPS.

Hur kan JWT skyddas mot forgery?

Genom att använda starka hemligheter för HMAC eller privata nycklar för RSA. Regelbunden rotation av nycklar.

Vad är 'signature' i JWT?

Det är den del av token som säkerställer att den inte har manipulerats. Består av header, payload och hemlighet.