14

我有一些与 Bearer Token 有关的问题。在 Owin 中，您可以Protect(ticket)像这样保护票证：

ClaimsIdentity identity = new ClaimsIdentity(Startup.OAuthServerOptions.AuthenticationType);

identity.AddClaim(new Claim(ClaimTypes.Name, user.UserName));

 Dictionary<string, string> properties = new Dictionary<string, string>();
 properties.Add("UserId", user.Id);
 properties.Add("UserName", user.UserName);
 properties.Add("Role", "user");

 AuthenticationProperties properties = new AuthenticationProperties(properties);

 AuthenticationTicket ticket = new AuthenticationTicket(identity, properties);


 DateTime currentUtc = DateTime.UtcNow;

 DateTime expireUtc = currentUtc.Add(TimeSpan.FromHours(24));

 ticket.Properties.IssuedUtc = currentUtc;
 ticket.Properties.ExpiresUtc = expireUtc;


 string token = OAuthAuthorizationServerOptions.AccessTokenFormat.Protect(ticket)

现在令牌将是这样的：

nqak-9R6U64Owsm_lqn_mJzKc_Djd8iVnIw0EX77v5x2rybhf4m_zg_UnrsoO5BxDZQl0HWrSvvd4efa4ChNSf5rAGhd13aOXZlvwOJOZ5v_9bhRCq8A7tqHyiM6DqVVOyYs3lh2SU-wU1m85HH2IcYDtdTY3ijaKZ_QnP1nsqO5LRnnEL4upbETPW9zqWIZzZBX7_Y2cXi2v0K7WnlRor3gFKIZlU9J-NfidRpWXqq5744NfWWHalYADGS7eUWyuxPJCj9ykHYzaXFksJEXBw

我的问题：

  • 这个令牌是如何生成/加密的？

  • 是否有人可以尝试弄乱令牌并向其添加一些自定义声明？

例子：

如果你有令牌字符串，你可以这样做：

AuthenticationTicket ticket = OAuthAuthorizationServerOptions.AccessTokenFormat.Unprotect(token);

现在您可以为其添加自定义声明。例如，如果有一个role具有价值的声明，user那么您可以修改该声明并添加admin然后重新编码票证，您将获得一个具有管理员角色的令牌。

我实际上做了一些测试，在服务器上编码了一个令牌，然后尝试在另一个系统上修改它，但我做不到Unprotect。因此，我在想票证可能是使用最初创建的机器密钥加密/解密的。但是，如果我尝试Unprotect从同一台机器上运行它。我可以解密并修改它。

有人可以解释一下这个过程吗？

4

1 回答 1

16

这个令牌是如何生成/加密的？

可以使用对象SetDataProtectionProvider上的扩展方法设置数据保护提供程序IAppBuilder。如果不这样做，则使用主机的数据保护提供程序。在 IIS + ASP.NET 的情况下，这是MachineKeyDataProtector在程序集中Microsoft.Owin.Host.SystemWeb。对于自托管，这将是 DPAPI。基本上，令牌是加密的，然后是 MACed，这Protect()就是全部内容。

是否有人可以尝试弄乱令牌并为其添加一些自定义 > 声明？

不，这是不可能的。机器中受保护的令牌不能在其他地方不受保护。一个例外情况是您拥有多台机器的网络农场。一台机器可以保护，如果后续请求发送到另一台机器，那台机器应该有能力取消保护。使用 DPAPI，这是不可能的。有了MachineKeyDataProtector，这可以通过machineKey在所有机器中使用相同的部分来实现。但是，如果您担心某些 MITM 能够做到这一点，那么不，这是不可能的。

于 2014-08-19T03:45:03.827 回答