Skip to main content
adicionou 64 caracteres ao conteúdo
Fonte Link
Inkeliz
  • 21,8mil
  • 1
  • 36
  • 73

Existem vários problemas com o JOSE (JWT, JWS, JWE...), mas irei mencionar tópicos externos (como este artigo e este outro) já que esta não foi a pergunta inicial.


Irei focar apenas na sua pergunta de:

"quero aprender o método mais leve para o servidor".

Bem, usando o JWT/JWS você possivelmente irá usar algoritmos criptográficos de derivação (como HMAC) ou de assinatura (como o arcaico ECDSA usando P-256). Depois disso você fará um SELECT * FROM ..., como mencionou. Resumo: rápido isso não é! É óbvio que realizar um único SELECT * FROM ... seria mais rápido.

"e o mais seguro"

Se você utiliza um identificador de sessão com um valor uniformemente-aleatório (como o random_bytes(), ou session.entropy_file = /dev/urandom no caso do PHP padrão). Se você usa TLS/HTTPS e o cookie é identificado para apenas trafegar usando TLS (usando o session.use_only_cookies = 1 no PHP padrão)... O JWT não tem nenhuma adição de segurança, na verdade ele pode ser até pior, afinal como encerra uma sessão? O JWT foi criado para ser válido para sempre, ser. Se você adicionar outros identificadores para isso, exigindo um estado-global, estará matando um dos propósito dele.

Existem vários problemas com o JOSE (JWT, JWS, JWE...), mas irei mencionar tópicos externos (como este artigo e este outro) já que esta não foi a pergunta inicial.


Irei focar apenas na sua pergunta de:

"quero aprender o método mais leve para o servidor".

Bem, usando o JWT/JWS você possivelmente irá usar algoritmos criptográficos de derivação (como HMAC) ou de assinatura (como o arcaico ECDSA usando P-256). Depois disso você fará um SELECT * FROM ..., como mencionou. Resumo: rápido isso não é! É óbvio que realizar um único SELECT * FROM ... seria mais rápido.

"e o mais seguro"

Se você utiliza um identificador de sessão com um valor uniformemente-aleatório (como o random_bytes()). Se você usa TLS/HTTPS e o cookie é identificado para apenas trafegar usando TLS... O JWT não tem nenhuma adição de segurança, na verdade ele pode ser até pior, afinal como encerra uma sessão? O JWT foi criado para ser válido para sempre, ser você adicionar outros identificadores para isso, exigindo um estado-global, estará matando um dos propósito dele.

Existem vários problemas com o JOSE (JWT, JWS, JWE...), mas irei mencionar tópicos externos (como este artigo e este outro) já que esta não foi a pergunta inicial.


Irei focar apenas na sua pergunta de:

"quero aprender o método mais leve para o servidor".

Bem, usando o JWT/JWS você possivelmente irá usar algoritmos criptográficos de derivação (como HMAC) ou de assinatura (como o arcaico ECDSA usando P-256). Depois disso você fará um SELECT * FROM ..., como mencionou. Resumo: rápido isso não é! É óbvio que realizar um único SELECT * FROM ... seria mais rápido.

"e o mais seguro"

Se você utiliza um identificador de sessão com um valor uniformemente-aleatório (como o random_bytes(), ou session.entropy_file = /dev/urandom no caso do PHP padrão). Se você usa TLS/HTTPS e o cookie é identificado para apenas trafegar usando TLS (usando o session.use_only_cookies = 1 no PHP padrão)... O JWT não tem nenhuma adição de segurança, na verdade ele pode ser até pior, afinal como encerra uma sessão? O JWT foi criado para ser válido para sempre. Se você adicionar outros identificadores para isso, exigindo um estado-global, estará matando um dos propósito dele.

Fonte Link
Inkeliz
  • 21,8mil
  • 1
  • 36
  • 73

Existem vários problemas com o JOSE (JWT, JWS, JWE...), mas irei mencionar tópicos externos (como este artigo e este outro) já que esta não foi a pergunta inicial.


Irei focar apenas na sua pergunta de:

"quero aprender o método mais leve para o servidor".

Bem, usando o JWT/JWS você possivelmente irá usar algoritmos criptográficos de derivação (como HMAC) ou de assinatura (como o arcaico ECDSA usando P-256). Depois disso você fará um SELECT * FROM ..., como mencionou. Resumo: rápido isso não é! É óbvio que realizar um único SELECT * FROM ... seria mais rápido.

"e o mais seguro"

Se você utiliza um identificador de sessão com um valor uniformemente-aleatório (como o random_bytes()). Se você usa TLS/HTTPS e o cookie é identificado para apenas trafegar usando TLS... O JWT não tem nenhuma adição de segurança, na verdade ele pode ser até pior, afinal como encerra uma sessão? O JWT foi criado para ser válido para sempre, ser você adicionar outros identificadores para isso, exigindo um estado-global, estará matando um dos propósito dele.