websphere - 如何验证 LTPA 1 令牌的签名

Question

有谁知道如何验证解密的 LTPA 令牌的签名部分？

我有从我的 WPE8 服务器导出的密钥，并正确解码了 LTPA 令牌，因此我看到了用户数据、过期和签名。

Answer 1

不幸的是，LTPA 令牌格式是 IBM 标准。您可能已经注意到，有一些关于如何解密令牌的示例（但我所见过的没有一个包括验证签名），但即使这样也不是很安全，因为它是 IBM 标准并且他们尚未发布使用 LTPA 的任何公共 API。

我做了很多工作来尝试在我们拥有的 WP 服务器和其他非 WebSphere 服务器之间实现 SSO，我们发现最简单的方法是在登录过滤器中创建我们自己的令牌。