JWT認証、便利やん？ - ブログ

テクノロジーカテゴリーの変更を依頼記事元:

auth0.hatenablog.com

386 usersがブックマークコメント

JWT認証、便利やん？ - ブログ

どうして JWT をセッションに使っちゃうわけ？ - co3k.org　に対して思うことを書く。 (ステートレスな)... どうして JWT をセッションに使っちゃうわけ？ - co3k.org　に対して思うことを書く。 (ステートレスな) JWT をセッションに使うことは、セッション ID を用いる伝統的なセッション機構に比べて、あらゆるセキュリティ上のリスクを負うことになります。と大口叩いておいて、それに続く理由がほとんどお粗末な運用によるものなのはどうなのか。最後に、でもそこまでしてステートレスに JWT を使わなくてはいけないか？とまで行っていますが、JWT認証のメリットはその実装のシンプルさとステートレスなことにあります。現実的には実際はDB参照とか必要になったりするんですが、ほとんど改ざん検証だけで済むのは魅力的です。トレードオフでリアルタイムでユーザー無効化ができないことくらいですかね。ライブラリなんて使う必要ないほどシンプルだし、トレードオフさえ許容できればむしろ、なぜこれ以上に複雑な認証

infobloga 元記事はRuby怖いからVBにしましょうレベルで理不尽。考慮して当たり前だし、むしろ考慮してない奴いるのか？レベルのこと書いて批判した気になってる。こういう地道な反論が健全な技術発展に重要 / コメントした

2018/09/21 リンク

sin20xx 論点がずれてる気がする。ようは理解しないで使う人間はなんなのよ？という話で理解している人はぶっちゃけ何をどうやって実装してもご自由にという話かと。ようは道具を使う事を目的とするなよ、って話だと思うが。

kwhrtsk 「どうしてJWTをセッションに使っちゃうわけ？」というタイトルで「妥当なリスク対応ができていれば問題はない」は無理があるのでは。ダメ絶対じゃなくてトレードオフの話なんだよね。

sudow 「認証」と「セッション」は別のもの。という単純な前提がわかってないブコメ多すぎでは。しかもトップブコメになってるという。

Kil うーん、結局、指摘の元記事が言いたいのはは「この記事書いた人くらいの知識持ったうえで使ってくれよ」という内容なのでは？　まぁ、元記事のタイトルの付け方が「やや煽り気味」であるのは確かだけども。

rti7743 過去の歴史の中で安全な運用のノウハウが確立されているセッションを捨てるにはまだ早いかな。もう少し事例が出てきて、定番のライブラリが整備されてからでいい。まだ人柱向けなんだろう。

y-kawaz ほんこれ、まともに使えば問題ない。ただ「JWTでセッション管理」に問題がないかと言うと実はある。ググったレベルの知識で危険指摘してくる連中への説明コストだ。偶にセキュリティ部門とかからも言われて辟易する。

benridane111 もしもの幅が広すぎて反論も難しそう。HTTPはステートレスに保つことが本来の姿で、それを取り戻そうとしている動きがJWTとかだったり。

kibitaki 煽り気味反論は耐えてたけどlocalstorageでダメだ終わったお粗末合戦しててくれ。実装や運用がカス言うたら負け。それらをどれだけ塞げるかが得点ですよ。

2018/09/23 リンク

rrrkaneko tokenが漏洩した場合におけるcnf claimを使ったPoPの仕様提案って2016年頃のやつしか見つけられないのだけど、結局どうなったのだろう。experimentalとして実装しているものはあるみたいだけど。 https://tools.ietf.org/html/rfc7800

lyiase 元記事がアレで便利なのにもほぼ同意するんだけど、JWT認証で最も重要なのは「署名」なのにこれのチェックが省略される実装が結構あって、それでもJWT認証と呼べちゃうのがJWT認証で一番クソ。

mjy これは煽ってPV稼いだ場合に「真意はこうなんで丁寧に読んでね」が許されるかって問題だね。結論としては許されない。だけれど、同じ方法で何度でもPVは稼げる。さあどうする。

keim_at_Si 支持。向こうの記事読んで、Disるために無理に項目増やしてるような違和感を感じたんだけど、門外漢だったのでブコメしなかった。そこらへんの違和感を説明してくれてて、とてもありがたい。

esodov リフレッシュトークンってセッションとほぼ同義な気が。cookieの仕組みで守るか、送る機会減らして守るかの違いしかないよね。要はcookieであれwebストレージであれ認証と認可分けろやって話では。

builtinnya よく localStorage にトークンを保存するのは insecure と言われるが、それは妥当でないと思う。XSS がある場合直接リクエストを投げられるので HttpOnly Cookie でもそう変わらない。CSRF ない分 JWT + localStorage が楽なのは分かる