Comment configurer MIcrosoft JWT avec la clé symétrique?

voici un exemple d'utilisation de cette bibliothèque avec .Net 4.5 qui émet et valide un JWT signé avec la clé symétrique basée sur HMAC SHA256 (tout en code et sans WIF):

string jwtIssuer = "MyIssuer";
string jwtAudience = "MyAudience";

// Generate symmetric key for HMAC-SHA256 signature
RNGCryptoServiceProvider cryptoProvider = new RNGCryptoServiceProvider();
byte[] keyForHmacSha256 = new byte[64];
cryptoProvider.GetNonZeroBytes(keyForHmacSha256);

///////////////////////////////////////////////////////////////////
// Create signing credentials for the signed JWT.
// This object is used to cryptographically sign the JWT by the issuer.
SigningCredentials sc = new SigningCredentials(
                                new InMemorySymmetricSecurityKey(keyForHmacSha256),
                                "http://www.w3.org/2001/04/xmldsig-more#hmac-sha256",
                                "http://www.w3.org/2001/04/xmlenc#sha256");

///////////////////////////////////////////////////////////////////
// Create token validation parameters for the signed JWT
// This object will be used to verify the cryptographic signature of the received JWT
TokenValidationParameters validationParams =
    new TokenValidationParameters()
    {
        AllowedAudience = s_jwtAudience,
        ValidIssuer = s_jwtIssuer,
        ValidateExpiration = true,
        ValidateNotBefore = true,
        ValidateIssuer = true,
        ValidateSignature = true,
        SigningToken = new BinarySecretSecurityToken(keyForHmacSha256),
    };

///////////////////////////////////////////////////////////////////
// Create JWT handler
// This object is used to write/sign/decode/validate JWTs
JWTSecurityTokenHandler jwtHandler = new JWTSecurityTokenHandler();

// Create a simple JWT claim set
IList<Claim> payloadClaims = new List<Claim>() { new Claim("clm1", "clm1 value"), };

// Create a JWT with signing credentials and lifetime of 12 hours
JWTSecurityToken jwt =
    new JWTSecurityToken(jwtIssuer, jwtAudience, payloadClaims, sc, DateTime.UtcNow, DateTime.UtcNow.AddHours(12.0));

// Serialize the JWT
// This is how our JWT looks on the wire: <Base64UrlEncoded header>.<Base64UrlEncoded body>.<signature>
string jwtOnTheWire = jwtHandler.WriteToken(jwt);

// Validate the token signature (we provide the shared symmetric key in `validationParams`)
// This will throw if the signature does not validate
jwtHandler.ValidateToken(jwtOnTheWire, validationParams);

// Parse JWT from the Base64UrlEncoded wire form (<Base64UrlEncoded header>.<Base64UrlEncoded body>.<signature>)
JWTSecurityToken parsedJwt = jwtHandler.ReadToken(jwtOnTheWire) as JWTSecurityToken;

Jim,

Merci d'avoir essayé la preview, désolé que vous ayez eu des problèmes qui n'étaient pas évidents : - (.

NamedKeyIssuerTokenResolver est né de deux idées:

1. la nécessité d'associer une clé pour la vérification de la signature d'un secret partagé;
2. plusieurs clés valides pourraient être utilisées en même temps.

Il a été conçu pour fonctionner avec le NamedKeySecurityToken qui a un nom et un certain nombre de touches. NKITR peut retourner un NKST qui simplifie la vérification d'une signature lorsque plusieurs clés sont en jeu.

un but pour le NKITR était de fournir un mappage entre le JWT iss demande (dans l'en-tête) et une clé. Quand il est temps de vérifier la signature, le JWTHandler vérifie:

1. TokenValidationParamerter.SigningToken, si trouvé l'utiliser;
2. SecurityKeyIdentifier obtenu à partir de JWT.Header.SigningKeyIdentifier (actuellement seul x5t est pris en charge) est envoyé au INR;
3. NamedKeyIdentifierClause est créé à partir de la Jwt.Issuer et envoyé au courant INR.

Depuis SecurityToken peut contenir plusieurs clés, chaque commande est utilisée pour vérifier la signature, premier succès s'arrête et le JWT.SigningToken contient SecurityToken qui a validé la signature.

Jim et Willy,

Désolé pour la confusion avec l' ValidateToken(SecurityToken) méthode de surcharge. Les paramètres sont déplacés à partir de ConfigurationValidationParameters, mais pas les propriétés comme ValidIssuer qui ont un seul élément, mais

IssuerNameRegistry -> VP.IssuerNameRegistry
IssuerTokenResolver -> VP.SigningTokenResolver
AllowedAudienceUris -> VP.AllowedAudiences
CertificateValidator -> VP.CertificateValidator
SaveBootStrapContext -> VP.SaveBootStrapContext

Brent

AFAIK, le JWtSecurityTokenHandler n'est pas encore prêt à être utilisé à partir d'un fichier de configuration. L'exemple donné par Vittorio Bertocci est aussi un "exemple de code". En cela, il appelle explicitement le ValidateToken surchargé avec le paramètre tokenValidationParameters supplémentaire qui contient toutes les choses nécessaires pour faire la validation (comme la clé symétrique).

Malheureusement, cette surcharge n'est pas appelée par le pipeline WIF normal (il appelle le ValidateToken avec juste le jeton comme un paramètre) J'ai résolu de sous-classer le gestionnaire de jwtsecurity, de surcharger LoadCustomConfiguration pour charger manuellement les choses nécessaires pour créer un objet tokenValidationParemeter (j'ai dû créer quelques objets de configuration pour cela). Puis j'ai fait un override de validateToken pour explicitement appeler la surcharge avec le paramètre supplémentaire (que je pouvais créer à la volée avec les paramètres que j'ai lus à partir de la config). Tous très encombrants à faire mais le seul moyen d'exploiter le pouvoir de la tokenValidationparameters. (mais j'ai peut-être tort, bien sûr)

  <issuerTokenResolver type="Microsoft.IdentityModel.Tokens.JWT.NamedKeyIssuerTokenResolver, Microsoft.IdentityModel.Tokens.JWT">
    <securityKey symmetricKey="01234567890123456789012345678901" name="MyIssuer"/>
  </issuerTokenResolver>
  <securityTokenHandlers>

Voici comment cela fonctionne avec la version RTM du gestionnaire JWT: http://leastprivilege.com/2013/07/16/identityserver-using-ws-federation-with-jwt-tokens-and-symmetric-signatures/