Convalida token

Verificare che il valore della richiesta di audience (aud) contenga il valore client_id dell'applicazione. Il claim aud (audience) può contenere un array con più elementi. Il token ID deve essere rifiutato se il token ID non elenca il client come audience valida o se contiene audience aggiuntive non attendibili dal client.

Verificare che l'ora corrente sia precedente all'ora rappresentata dalla richiesta di scadenza (exp).

Esempio

package sample;
 
import java.net.MalformedURLException;
import java.net.URL;
 
import com.nimbusds.jose.JWSAlgorithm;
import com.nimbusds.jose.jwk.source.JWKSource;
import com.nimbusds.jose.jwk.source.RemoteJWKSet;
import com.nimbusds.jose.proc.JWSKeySelector;
import com.nimbusds.jose.proc.JWSVerificationKeySelector;
import com.nimbusds.jose.proc.SecurityContext;
import com.nimbusds.jwt.JWTClaimsSet;
import com.nimbusds.jwt.proc.ConfigurableJWTProcessor;
import com.nimbusds.jwt.proc.DefaultJWTProcessor;
 
public class TokenValidation {
 
    public static void main(String[] args) {
        try {
            String tokenValue = "eyJ4NXQjUzI1....W9J4oQ";
     
            ConfigurableJWTProcessor jwtProcessor = new DefaultJWTProcessor();
 
            // change t
            JWKSource keySource = new RemoteJWKSet(new URL("https://<domainURL>/admin/v1/SigningCert/jwk"));
 
            // The expected JWS algorithm of the token (agreed out-of-band)
            JWSAlgorithm expectedJWSAlg = JWSAlgorithm.RS256;
 
            // Configure the JWT processor with a key selector to feed matching public
            // RSA keys sourced from the JWK set URL
            JWSKeySelector keySelector = new JWSVerificationKeySelector(expectedJWSAlg, keySource);
            jwtProcessor.setJWSKeySelector(keySelector);
 
            // Process the token
            SecurityContext ctx = null; // optional context parameter, not required here
            JWTClaimsSet claimsSet = jwtProcessor.process(tokenValue, ctx);
            // Print out the token claims set
            System.out.println(claimsSet.toJSONObject());
             
 
        } catch (Exception e) {
            e.printStackTrace();
        }
    }
 
}

Verificare che il valore della richiesta di identificazione emittente (iss) corrisponda esattamente al valore della richiesta di rimborso iss (emittente): https://<domainURL>/

Verificare che il token di accesso sia firmato correttamente dall'emittente.

• Recuperare il certificato pubblico del tenant dall'endpoint SigningCert/jwk (ad esempio, https://acme.identity.oraclecloud.com/admin/v1/SigningCert/jwk).

  Nota
  
  Poiché i domini di Identity cambiano le chiavi pubbliche di rado, è possibile inserire le chiavi pubbliche nella cache e, nella stragrande maggioranza dei casi, eseguire in modo efficiente la convalida locale. Ciò richiede il recupero e l'analisi dei certificati e l'esecuzione delle chiamate crittografiche appropriate per controllare la firma:

• Utilizzare le librerie JWT disponibili per convalidare, ad esempio, la libreria JWT Nimbus di Connect2id per Java. Per un elenco delle librerie disponibili, vedere JWT.

• Passare il certificato all'API della rispettiva libreria, ad esempio utilizzando l'API SignedJWT di Nimbus:

  PublicKey = x509Certificate.getPublicKey();
  // verify the signature.
  JWSVerifier verifier = new RSASSAVerifier((RSAPublicKey) (publicKey));
  boolean isTokenValid = signedJWT.verify(verifier);
  

  Nota
  
  In caso di errore di convalida della firma, per evitare reincroci costanti in caso di attacchi con token fasulli, il reinserimento/reinserimento nella cache della chiave pubblica deve essere basato su un intervallo di tempo, ad esempio 60 minuti, in modo che i reincroci avvengano solo ogni 60 minuti.

Verificare che il valore della richiesta di identificazione emittente (iss) corrisponda esattamente al valore della richiesta di rimborso iss (emittente): https://<domainURL>/

Verificare che il token di accesso disponga della richiesta di audience (aud) come richiesto dal client. Il valore della richiesta aud cambia da ambito a ambito. La richiesta aud è un array se sono presenti più audience ed è una stringa se è presente un solo audience.

La richiesta aud è l'audience principale del server delle risorse dell'applicazione del dominio di Identity IAM. Se nell'applicazione del dominio di Identity IAM sono definiti segmenti di pubblico secondari, questi vengono aggiunti anche come parte della richiesta aud. Nell'ambito della convalida del token di accesso, il server deve consentire l'accesso se uno dei valori nell'array aud ha senso per il server delle risorse.

Verificare che l'ora corrente sia precedente all'ora rappresentata dalla richiesta di scadenza (exp).

Verificare che il token di accesso sia autorizzato a eseguire l'operazione in base al contenuto della richiesta di ambito. La richiesta di ambito nel token di accesso è una lista di stringhe separate da spazi.