MP
нет, каждый владелец токен1 может сделать токен2 подписав его своим ключом
ну взял, сделал пару ключей и подписал.
а в чем вопрос?
а в чем вопрос?
Size: a a a
2019 December 11
IG
вот мы только что внедрили в прод подобное
AR
ну взял, сделал пару ключей и подписал.
а в чем вопрос?
а в чем вопрос?
в том как достичь 1)
IG
только у нас это называется IAM по аналогии с амазоном.
AR
1. Обладая token2 не должно быть возможности получить валидный token1
MP
в том как достичь 1)
как не понял, как подписать свой же токен?
IG
можно просто хранить это в базе (в зашифрованном виде, конечно) и проверять
AG
1. Обладая token2 не должно быть возможности получить валидный token1
в случае с оборачиванием токеном структурно напоминает часть дерева где дочерний узел не может получить информацию о родителе
MP
1. Обладая token2 не должно быть возможности получить валидный token1
так по одному подписанному токену второй никак не получишь
AR
как не понял, как подписать свой же токен?
просто подписав токен1 своим ключом ты любому обладателю токен2 даешь возможность получить токен1. что противоречит 1)
IG
у нас это джейсончик, у которого указан родитель и список прав. Читаешь из базы и проверяешь. Ну и апихи для отзыва ключа и тд.
MP
просто подписав токен1 своим ключом ты любому обладателю токен2 даешь возможность получить токен1. что противоречит 1)
подписав токен1, я только говорю - "смотрите, чуваки, это мой правльный токен", про токен 2 ничего не говорю
AR
только у нас это называется IAM по аналогии с амазоном.
IAM это ABAC, надстройка над ACL, что примерно противоположно тому, что я пытаюсь сделать )
MP
или вопрос в том, что надо чтобы в токене2 как-то фигурировала моя подпись, но токен1 не было бы?
MP
хаш тогда от него можно взять просто
AR
token1 = data1.apikey1.signature1
where signature1 = sign(data1.apikey1, secret1)
token2 = data1.apikey1.data2.apikey2.signature2
where signature2 = sign(data1.apikey1.signature1.data2.apikey2, secret2)
я все описал, давай вот конкретно, где в описании не понятно?
AR
вот в этой схеме ты можешь сделать token2 подписав своим ключом
AR
при этом верификатор способен проверить всю цепочку
IG
Мне кажется, чтобы решить это криптографией, для начала бы упростить схему, убрав токены. Пусть у клиента будет несколько пар открытых и закрытых ключей. А дальше как я писал выше: дерево с контентом, где каждый уровень подписан своим ключом. Уровнь выше включает в сигнатуру подпись из нижнего уровня. На сервере все это можно проверить.
IG
Если это не то, видимо, не понял задачу.