JWT-Signaturprüfung

Ich versuche, die Zugriffstokensignatur mit meinem öffentlichen Schlüssel zu überprüfen, der von einem Authentifizierungsserver (OpenId) abgerufen wurde.
Der Client erhält ein Zugriffstoken vom selben Server und fordert dann meine Ressourcenserver-API an. Jetzt muss ich seine Signatur mit der Spring Security-Bibliothek überprüfen.
Das Zugriffstoken hat das Attribut "alg": "RS256".
Aber der Code unten bleibt erfolglos und ich bin immer die InvalidSignatureException bekommen ...JWT-Signaturprüfung

import java.math.BigInteger; 
import java.security.KeyFactory; 
import java.security.PublicKey; 
import java.security.interfaces.RSAPublicKey; 
import java.security.spec.RSAPublicKeySpec; 

import org.apache.commons.codec.binary.Base64; 
import org.slf4j.Logger; 
import org.slf4j.LoggerFactory; 
import org.springframework.security.jwt.JwtHelper; 
import org.springframework.security.jwt.crypto.sign.InvalidSignatureException; 
import org.springframework.security.jwt.crypto.sign.RsaVerifier; 

public class JWTValidation { 

    private static final Logger logger = LoggerFactory.getLogger(JWTValidation.class); 

    private static final String PUBLIC_KEY_MODULUS = "qOYyKKnoUpXd2qIj8A0tdumWwnDbVjXOVaPfiX5lxBvYEtgWPLknf1Nftdk371a7f1jD8SFFDxXnj-PPFx8qoNETOITvbR12uvWmS1J36B5Uo_ViHp7dC-GaZG_EdafyK0rxRPvK8b37NPXWhTggbxCZhYaqJUMb1t0xogDadEyM95lZweEXrwsJNzoyXiGnPfsRgy32TjOOXIMZnAMoj-osYd2WawymkRV6cteo3f8KMT72_kp8oG-kGm1s3ZooEfI3_9Z2jHVGWQLUWbmZKIrvjuUo2dhmqWWsNyTO3RsF4qyrRCpmZNawDf_GsioBTZ3vfPF_T58moH7cJ50Byw"; 
    private static final String PUBLIC_KEY_PUBLIC_EXPONENT = "AQAB"; 

    //Public key = 
// { 
//  "keys":[ 
//   { 
//   "kty":"RSA", 
//   "use":"sig", 
//   "kid":"DQr-GCc8rH3y5fkAuo0iau-ue-s", 
//   "x5t":"DQr-GCc8rH3y5fkAuo0iau-ue-s", 
//   "e":"AQAB", 
//   "n":"qOYyKKnoUpXd2qIj8A0tdumWwnDbVjXOVaPfiX5lxBvYEtgWPLknf1Nftdk371a7f1jD8SFFDxXnj-PPFx8qoNETOITvbR12uvWmS1J36B5Uo_ViHp7dC-GaZG_EdafyK0rxRPvK8b37NPXWhTggbxCZhYaqJUMb1t0xogDadEyM95lZweEXrwsJNzoyXiGnPfsRgy32TjOOXIMZnAMoj-osYd2WawymkRV6cteo3f8KMT72_kp8oG-kGm1s3ZooEfI3_9Z2jHVGWQLUWbmZKIrvjuUo2dhmqWWsNyTO3RsF4qyrRCpmZNawDf_GsioBTZ3vfPF_T58moH7cJ50Byw", 
//   "x5c":["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"] 
//   } 
//  ] 
// } 

    //Access Token = base64url encoded String 
    public boolean verifySignature(String accessToken){ 

     try { 
      KeyFactory keyFactory = KeyFactory.getInstance("RSA");   
      Base64 decoder = new Base64(true);//URL-safe Base64 decoder 

      BigInteger modulus = new BigInteger(decoder.decode(PUBLIC_KEY_MODULUS.getBytes())); 
      BigInteger publicExponent = new BigInteger(decoder.decode(PUBLIC_KEY_PUBLIC_EXPONENT.getBytes())); 

      RSAPublicKeySpec spec = new RSAPublicKeySpec(modulus, publicExponent); 
      PublicKey newPublicKey = keyFactory.generatePublic(spec); 

      RsaVerifier verif = new RsaVerifier((RSAPublicKey) newPublicKey, "SHA256withRSA"); 
      JwtHelper.decodeAndVerify(accessToken, verif); 

     } catch (InvalidSignatureException e){ 
      logger.info(e.getMessage()); 
      return false; 
     } catch (Exception e){ 
      logger.info(e.getMessage()); 
      return false; 
     } 

     return true; 
    } 
}

Ich habe auch versucht jwt.io das Online-Tool zu verwenden, aber ich habe nicht in der Lage gewesen, um es (die Unterschrift bleibt funktioniert ungültig)
Und für die andere (tool_jwt), den einzigen Weg, um eine gültige Signatur haben, ist das „Standard X.509-Zertifikat RSA“ mit Kommentaren um meinen öffentlichen Schlüssel „x5C“ Wert wählen:

Also ich weiß nicht was jetzt zu tun, welches öffentliche Schlüsselattribut sollte ich verwenden und wie funktioniert es?

Vielen Dank für Ihre Hilfe :)

Quelle

2016-05-03 Tierce

Irgendeine Idee? Ich stecke immer noch auf dieses Problem ... tx – Tierce

hatte ich die Verwendung den x509 Schlüssel spec zusätzlich zu dem RSA-Schlüssel spec

RSAPublicKeySpec spec = new RSAPublicKeySpec(new BigInteger(modulusBytes),  new BigInteger(exponentBytes)); 
KeyFactory factory = KeyFactory.getInstance("RSA"); 
PublicKey key = factory.generatePublic(spec); 


X509EncodedKeySpec X509publicKey = new X509EncodedKeySpec(key.getEncoded()); 
KeyFactory kf = KeyFactory.getInstance("RSA"); 
PublicKey pubKey64 = kf.generatePublic(X509publicKey);

Die für

sowohl die auth0 und jwt.io Bibliotheken gearbeitet

Quelle

2017-02-06 07:55:08

JWT-Signaturprüfung

Antwort

Verwandte Themen