JWS
siglacriptografiasegurança
Significa: JSON Web Signature
Um padrão para assinar dados representados como JSON.
Assinatura Web JSON (do inglês JSON Web Signature, RFC 7515) define como assinar um payload e codificar a assinatura de forma compacta. Está por trás dos JWTs assinados; notavelmente seu algoritmo 'none', destinado a tokens não seguros, é uma fonte clássica de bugs de verificação.
O JSON Web Signature é a metade de assinatura da família JOSE e a estrutura sob um JWT assinado: um cabeçalho, uma carga e uma assinatura, codificados em base64url e unidos por pontos.
Seu perigo recorrente é o campo de algoritmo no cabeçalho, que descreve o que quem envia usou e jamais deve ser aquilo em que quem recebe confia. Aceitar a alegação do cabeçalho permite o algoritmo none e o ataque de confusão de RS256 para HS256. A implementação correta fixa o algoritmo aceitável fora de banda e rejeita o resto, e bibliotecas que fizeram disso o padrão em vez de uma opção removeram uma classe inteira de vulnerabilidade do ecossistema.
Também conhecido como: jws