JWTtunnisteita

JWT-tunnisteita ovat JSON Web Tokenin (JWT) payloadissa olevia tunnisteita, eli väittämiä, jotka kertovat tokenin kohteesta, omistajasta ja voimassaolosta. JWT on kevyt, itsemääräävä tunnistustokeni, jota käytetään laajasti todennukseen ja valtuutukseen. Token koostuu headerista, payloadista ja varmennuksesta; tunnisteet sijaitsevat payloadissa.

JWT-tunnisteita jaetaan yleensä kolmeen ryhmään: rekisteröityihin tunnisteisiin (registered claims), julkisiin tunnisteisiin (public claims) ja yksityisiin tunnisteisiin (private claims). Rekisteröityjä tunnisteita ovat esimerkiksi iss (issuer, tokenin myöntäjä), sub (subject, tokenin kohde), aud (audience, yleisö), exp (expiration time), iat (issued at) sekä nbf (not before). Jti (JWT ID) toimii tokenin ainutkertaisena tunnisteena. Julkiset tunnisteet ovat nimiä, jotka on tarkoitettu jaettavaksi yleisesti tietokantojen ja sovellusten välillä, ja private-tunnisteet ovat sovellusten omia, toisten sovellusten kanssa sovittuja avaimia.

Käytännössä JWT-tunnisteita käytetään todennuksessa ja valtuutuksessa: vastaanottava palvelin tarkistaa allekirjoituksen, varmistaa iss- ja aud -arvot sekä katsoa exp-non-expiry, ja tarvittaessa hylkää vanhentuneet tai uusittavat tunnisteet (esim. jti-käyttö). Turvallisuusvaatimukset korostuvat: käytä HTTPSia, älä sisällä sensitiivisiä tietoja, valitse vahva allekirjoitusalgoritmi ja huomioi kellosäätö (leeway). Tarpeen mukaan voidaan krypata sisäauktoroinnin salaamiseksi (JWE) tai käyttää yksityisiä tunnisteita yhteisissä sovelluksissa.

Standardit ja sovellukset: RFC 7519 määrittelee JWT:n, RFC 7515 JWS, ja RFC 7516 JWE. JWT:t ovat keskeisessä asemassa OAuth 2.0:ssa ja OpenID Connectissa.