Grundlagen der Webtechnologien
Welche Aussage über ein typisches signiertes JWT (JSON Web Token) ist richtig?
- ADie Payload ist mit dem Signaturschlüssel verschlüsselt; selbst wenn man Passwörter oder Kreditkartennummern hineinschreibt, kann sie unterwegs niemand lesen
- BAuch ein abgelaufenes Token muss der Server akzeptieren, solange die Signatur gültig ist, denn es wurde nicht manipuliert
- CEs besteht aus Header, Payload und Signatur, die jeweils mit Base64URL kodiert und mit „.“ verbunden werden; die Signatur macht Manipulationen erkennbar, der Inhalt ist aber nicht verschlüsselt
Antwort und Erläuterung anzeigen
Antwort: C. Es besteht aus Header, Payload und Signatur, die jeweils mit Base64URL kodiert und mit „.“ verbunden werden; die Signatur macht Manipulationen erkennbar, der Inhalt ist aber nicht verschlüsselt
Ein JWT besteht aus den drei Teilen „Header.Payload.Signatur“: Der Header enthält das Signaturverfahren (zum Beispiel HS256), die Payload Informationen (Claims) wie die Kennung des Nutzers und die Ablaufzeit (exp). Die Signatur wird aus Header und Payload mit einem geheimen Schlüssel erzeugt, sodass ein Server, der das Token empfängt, prüfen kann, dass der Inhalt nicht manipuliert wurde und wer es ausgestellt hat. Base64URL ist jedoch keine Verschlüsselung; jeder kann es zurückwandeln und lesen, daher werden keine geheimen Informationen hineingeschrieben. An eine API wird das Token im Allgemeinen nach Authorization: Bearer gesendet.