Was bedeutet JWT?
JWT steht für JSON Web Token. Häufig ist ein solches Token signiert. Damit kann der Empfänger seine Herkunft und Unverändertheit prüfen. Eine Signatur verbirgt den Inhalt jedoch nicht.
Vor der Nutzung müssen unter anderem Aussteller, Zielgruppe und Gültigkeit geprüft werden. Das bloße Auslesen des Inhalts bestätigt weder seine Echtheit noch seine Gültigkeit. Vertrauliche Inhalte benötigen gesonderten Schutz.
So sieht das in der Praxis aus
Beispiel: Eine Schnittstelle prüft bei einem signierten Token unter anderem Herkunft, Gültigkeit und vorgesehenen Empfänger.
Häufige Fragen
Ist ein signiertes JWT automatisch verschlüsselt?
Nein. Bei einem nur signierten JWT bleibt der Inhalt lesbar. Die Signatur macht Veränderungen erkennbar; zum Verbergen des Inhalts wäre zusätzlich Verschlüsselung nötig.
Reicht es, die Angaben aus dem Token auszulesen?
Nein. Ohne Prüfung von Signatur, zulässigem Verfahren, Aussteller, Zielgruppe und Gültigkeit könnten unzulässige oder manipulierte Angaben übernommen werden.
Kann ein JWT vor seinem Ablauf gesperrt werden?
Nur wenn das System dafür einen Mechanismus vorsieht, etwa eine Sperrliste oder zusätzliche Statusprüfung. Die Signatur allein informiert den Empfänger nicht über eine nachträgliche Sperrung.