Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
JWT完全に理解しよう-認証編-.pptx.pdf
Search
dach
July 29, 2021
Technology
0
710
JWT完全に理解しよう-認証編-.pptx.pdf
dach
July 29, 2021
Tweet
Share
More Decks by dach
See All by dach
dbt_ベストプラクティス_完全に理解した.pdf
dach
2
810
プロジェクトマネージャーと炎の回避術
dach
0
860
SLO_By_Google_Cloud_Monitoring
dach
0
160
状態遷移テスト完全に理解しよう.pdf
dach
0
780
JWT完全に理解しよう-公開鍵編-.pptx.pdf
dach
0
630
チームの垣根を越境する_チーム間交換留学
dach
0
67
設計書のないサービスとの付き合い方.pptx.pdf
dach
0
170
designからWebページを作るやりかた完全に理解した.pdf
dach
1
300
チャレンジコーナー__DFDのモブプロ.pdf
dach
1
2.8k
Other Decks in Technology
See All in Technology
地味にいろいろあった! 2025春のAmazon Bedrockアップデートおさらい
minorun365
PRO
1
270
AI AgentOps LT大会(2025/04/16) Algomatic伊藤発表資料
kosukeito
0
140
Making a MIDI controller device with PicoRuby/R2P2 (RubyKaigi 2025 LT)
risgk
1
270
MCPを活用した検索システムの作り方/How to implement search systems with MCP #catalks
quiver
12
6.8k
Automatically generating types by running tests
sinsoku
2
3.4k
30代からでも遅くない! 内製開発の世界に飛び込み、最前線で戦うLLMアプリ開発エンジニアになろう
minorun365
PRO
11
3.2k
新卒エンジニアがCICDをモダナイズしてみた話
akashi_sn
2
250
より良い開発者体験を実現するために~開発初心者が感じた生成AIの可能性~
masakiokuda
0
200
今日からはじめるプラットフォームエンジニアリング
jacopen
4
230
Spring Bootで実装とインフラをこれでもかと分離するための試み
shintanimoto
7
850
AWSの新機能検証をやる時こそ、Amazon Qでプロンプトエンジニアリングを駆使しよう
duelist2020jp
1
260
JPOUG Tech Talk #12 UNDO Tablespace Reintroduction
nori_shinoda
2
150
Featured
See All Featured
RailsConf & Balkan Ruby 2019: The Past, Present, and Future of Rails at GitHub
eileencodes
135
33k
What's in a price? How to price your products and services
michaelherold
245
12k
CSS Pre-Processors: Stylus, Less & Sass
bermonpainter
356
30k
How to Think Like a Performance Engineer
csswizardry
23
1.5k
Distributed Sagas: A Protocol for Coordinating Microservices
caitiem20
331
21k
Building Applications with DynamoDB
mza
94
6.3k
Visualization
eitanlees
146
16k
Practical Tips for Bootstrapping Information Extraction Pipelines
honnibal
PRO
19
1.1k
Designing for humans not robots
tammielis
252
25k
Optimizing for Happiness
mojombo
377
70k
A Modern Web Designer's Workflow
chriscoyier
693
190k
Building Better People: How to give real-time feedback that sticks.
wjessup
367
19k
Transcript
JWT 完全に理解しよう ~認証編~ @dach
Looking back
Playback last Challenge corner JWT • 何ができるか:トークンを使ったセキュリティーの実現、自己完結型・安全 •
何故必要か:JSONを構造化できる、シンプルかつわかりやすくするため • どのような時につかうか:ユーザー認証、改竄の有無を確認するため、 • 初登場: • 開発者: • 特徴: ◦ ◦ 出典:公式サイト
コンパクトな形式のJSONWeb Tokenは、ドット(.)で区切られた3つの部分で構成されています。 • ヘッダ • ペイロード • 署名 したがって、JWTは通常次のようになります。 xxxxx.yyyyy.zzzzz
(公式サイトより) What's JWT structuer
JSON Web Token(JWT)はオープンスタンダード(RFC 7519)であり、当事者間で情報をJSONオブジェクトとして安全に送信する ためのコンパクトで自己完結型の方法を定義しています。この情報はデジタル署名されているため、検証および信頼できます。JWT は、シークレット(HMACアルゴリズムを使用)またはRSAまたはECDSAを使用した公開鍵と秘密鍵のペアを使用して署名できま す。 (公式サイトより) What's JWT
デジタル署名 Keywords シークレット RSA 公開鍵 / 秘密鍵
How to use 承認: これは、JWTを使用するための最も一般的なシナリオです。ユーザーがログインすると、後続の各リクエストにはJWTが含まれ、 ユーザーはそのトークンで許可されているルート、サービス、およびリソースにアクセスできるようになります。シングルサインオン は、オーバーヘッドが小さく、さまざまなドメイン間で簡単に使用できるため、現在JWTを広く使用している機能です 情報交換: JSON Web
Tokenは、当事者間で情報を安全に送信するための優れた方法です。JWTは、たとえば公開鍵と秘密鍵のペアを使用 して署名できるため、送信者が本人であると確信できます。さらに、署名はヘッダーとペイロードを使用して計算されるため、コンテン ツが改ざんされていないことを確認することもできます。 (公式サイトより) 承認 Keywords シングルサインオン
Do you understand "Cryptography"? 秘伝のタレを 継承をしたい...
Do you understand "Cryptography"? 口頭 秘伝のタレは 「りんご」を入れる んや ええこと 聞いたわ!
How will it get better? 伝送② 秘タ「ご入ん 伝レり」れや のはんをる 公
開 鍵 伝送① 秘 密 鍵 公 開 鍵 秘伝のタレは 「りんご」を入 れるんや 秘タ「ご入ん 伝レり」れや のはんをる 2つ盗れても ようわからんぞ
man-in-the-middle attack 伝送② 秘タ「ご入ん 伝レり」れや のはんをる 公 開 鍵 伝送①
秘 密 鍵 公 開 鍵 秘伝のタレは 「りんご」を入 れるんや 秘タ「ご入ん 伝レり」れや のはんをる 公開鍵GET! ぼくの 公開鍵
man-in-the-middle attack 伝送② 秘タ「ご入ん 伝レり」れや のはんをる 公 開 鍵 伝送①
秘 密 鍵 公 開 鍵 秘伝のタレは 「りんご」を入 れるんや 秘タ「ご入ん 伝レり」れや のはんをる これで自分の秘 密鍵で復号でき る!!
man-in-the-middle attack 伝送② 秘タ「ご入ん 伝レり」れや のはんをる 公 開 鍵 伝送①
秘 密 鍵 公 開 鍵 お前はクビだ お 前 は ク ビ だ ついでに嘘の情 報送ってやろw お 前 は ク ビ だ なんでや!!
Thinking どうすれば盗られても 問題ない状態にできる のか...
Today’s goal 認証を理解して、JWTを完全に理解する「為の技術を理解する」
Who is me? EasyEasy icon チキン南蛮 ID: @dach JOB: Eng
(PM / カイゼン屋) Twitter: i-dach qiita: i-dach
Learn the technology used in JWT②
Authentication Overview
• ある行為または文書の記載が正当になされたことを証明する行為。 (ブリタニカ国際大百科事典 小項目事典「認証」の解説) • 法律用語としては、行為または文書の成立・記載が正当な手続でなされたことを公の機関が証明すること を意味する。
(日本大百科全書(ニッポニカ)「認証」の解説) • ① 証明し、認めること。 • ② 一定の行為または文書の成立・記載が正当な手続きでされたことを公の機関が証明すること。訴訟上 の書類に対する裁判所書記官の認証、一般の私署証書に対する公証人の認証、全権委任状、大公使の 信任状に対する天皇の認証など。 (精選版 日本国語大辞典「認証」の解説) What’s mean “認証” ?
man-in-the-middle attack 伝送② 秘タ「ご入ん 伝レり」れや のはんをる 公 開 鍵 伝送①
秘 密 鍵 公 開 鍵 お前はクビだ お 前 は ク ビ だ ついでに嘘の情 報送ってやろw お 前 は ク ビ だ なんでや!!
man-in-the-middle attack 伝送② 秘タ「ご入ん 伝レり」れや のはんをる 公 開 鍵 伝送①
秘 密 鍵 公 開 鍵 お前はクビだ お 前 は ク ビ だ ついでに嘘の情 報送ってやろw お 前 は ク ビ だ これは本物じゃないぞ
How do you solve it in the real world? 郵送
秘伝のタレは 「りんご」を入 れるんや 秘伝のタレは 「りんご」を入 れるんや
How do you solve it in the real world? 郵送
秘伝のタレは 「りんご」を入 れるんや 秘伝のタレは 「りんご」を入 れるんや 印 印 法務局に登録して いる印鑑 この印 本物...!
How do you solve it in the real world? 郵送
秘伝のタレは 「くさや」を入 れるんや 秘伝のタレは 「りんご」を入 れるんや 印 印 秘伝のタレは 「くさや」を入 れるんや 印 この印 偽物...!!!!
How do you solve it in the real world? 印
僕が信頼を保証しま す 形式は公開している けど、同じものじゃな いよ
Convert for Internet デジタル 署名 僕が信頼を保証しま す 形式は公開している けど、同じものじゃな いよ
認 証
Digital signature and PKI 鍵 証明書 認証局 のデジ タル署 名
認 証 鍵 秘タ「ご入ん 伝レり」れや のはんをる 信頼できるところか ら送られているのか 分かる 鍵
Public-key Cryptography 平文 暗号文 公開鍵 暗号アルゴリズム 秘密鍵 暗号アルゴリズム 暗号文
平文 鍵は2つとも 私が作ります 公開鍵 Use this
Question デジタル署名が 改ざんされてもわから なくない?
Digital signature メッセージ ハッシュ値 公開鍵 復号アルゴリズ ム 秘密鍵 暗号アルゴリズ ム
メッセージ 署名 鍵は2つとも 私が作ります 公開鍵 署名 比較 一致すれば成 功 一方向ハッ シュ関数 一方向ハッ シュ関数 非可逆な一意な値を 作ってくれる 秘密鍵で作っているか らこの人しか作れない 情報
Digital signature メッセージ ハッシュ値 公開鍵 復号アルゴリズ ム 秘密鍵 暗号アルゴリズ ム
メッセージ 署名 鍵は2つとも 私が作ります 公開鍵 署名 比較 一致すれば成 功 一方向ハッ シュ関数 一方向ハッ シュ関数 非可逆な一意な値を 作ってくれる 鍵 鍵 秘密鍵で作っているか らこの人しか作れない 情報
Digital signature and PKI 鍵 証明書 認証局 のデジ タル署 名
認 証 鍵 秘タ「ご入ん 伝レり」れや のはんをる 想定と違うところから来 ていたらこれで分かる 鍵
JWT Next time
Conclusion
Conclusion • ようやくJWTに行けそう
Thanks