HS256 a RS256: symetryczne i asymetryczne JWT

Podpisywanie JWT wykorzystuje algorytmy symetryczne (HMAC) albo asymetryczne (RSA, ECDSA). HS256 = HMAC-SHA256. RS256 = RSA-PKCS1v1.5-SHA256. ES256 = ECDSA-P256-SHA256. Wybór wpływa na dystrybucję kluczy i model zaufania.

HS256 używa jednego współdzielonego klucza sekretnego zarówno do podpisywania, jak i weryfikacji. Wystawca oraz każdy weryfikator muszą posiadać ten sam sekret. Rozwiązanie jest proste we wdrożeniu, ale wymaga bezpiecznej dystrybucji klucza do wszystkich weryfikatorów.

HS256 jest odpowiedni, gdy wystawca i weryfikator są tą samą usługą, np. monolitycznym API podpisującym i weryfikującym własne tokeny. Nie należy używać HS256, jeśli tokeny musi weryfikować wiele niezależnych usług — wszystkie potrzebowałyby sekretu.

RS256 używa klucza prywatnego do podpisywania i klucza publicznego do weryfikacji. Tylko serwer uwierzytelniania posiada klucz prywatny. Wszystkie serwery zasobów pobierają klucz publiczny z punktu końcowego JWKS i weryfikują tokeny lokalnie — współdzielenie sekretu nie jest wymagane.

RS256 idealnie pasuje do architektur mikrousług: dostawca tożsamości podpisuje tokeny, a każda usługa podrzędna weryfikuje je za pomocą klucza publicznego bez kontaktowania się z IDP przy każdym żądaniu. Umożliwia to horyzontalne skalowanie bez ryzyka związanego z dystrybucją kluczy.

ES256 używa ECDSA na krzywej P-256. Rozmiar podpisu wynosi 64 bajty w porównaniu z 256 bajtami dla RS256 z kluczem 2048-bitowym. Weryfikacja jest około 10 razy szybsza niż w przypadku RS256. Jest to preferowane rozwiązanie, gdy kluczowe znaczenie ma przepustowość lub szybkość weryfikacji, na przykład w mobilnych interfejsach API i urządzeniach IoT.

Dla RS256/ES256: rotuj klucze, publikując nowy klucz (nowy kid) w JWKS, podpisując nowe tokeny nowym kluczem, pozostawiając okres karencji na wygaśnięcie starych tokenów, a następnie usuwając stary klucz. Rotacja HMAC wymaga ponownego rozdystrybuowania nowego sekretu.

Weryfikacja HS256: ~1 µs. Weryfikacja RS256: ~100 µs (2048 bitów). Weryfikacja ES256: ~50 µs (P-256). HS256 jest najszybszy, ale wymaga współdzielenia sekretu. ES256 zapewnia najlepszy kompromis między bezpieczeństwem a wydajnością w systemach rozproszonych.

Krytyczna podatność: jeśli weryfikator bezkrytycznie ufa nagłówkowi alg, atakujący może zmienić alg z RS256 na HS256 i podpisać token kluczem publicznym serwera (który jest publiczny), używając go jako sekretu HMAC. Naprawa: nigdy nie ufaj nagłówkowi alg.

Decyzja: pojedyncza usługa → HS256. Wiele usług/mikrousługi → RS256 lub ES256. Aplikacja mobilna o dużym natężeniu ruchu → ES256. W razie wątpliwości użyj ES256 (P-256) lub RS256 z kluczami o długości co najmniej 2048 bitów. Nigdy nie używaj RS512 na ścieżkach, dla których wydajność ma znaczenie.

Używaj PyJWT (Python), jose (Node.js) lub auth0/java-jwt. Zawsze jawnie określaj oczekiwany algorytm w wywołaniu weryfikacji: jwt.decode(token, secret, algorithms=["HS256"]). Nigdy nie przekazuj algorithms=None ani nie pomijaj tego parametru.

Dlaczego RS256 jest preferowany względem HS256 w architekturach mikrousług?

HS256 jest symetryczny (współdzielony sekret); RS256/ES256 są asymetryczne (podpisywanie kluczem prywatnym, weryfikacja kluczem publicznym). W systemach wielostronnych używaj algorytmów asymetrycznych. Dalej: wykorzystywanie podatności JWT.