HS256 и RS256: симметричные и асимметричные JWT

Для подписи JWT используются симметричные алгоритмы (HMAC) или асимметричные алгоритмы (RSA, ECDSA). HS256 = HMAC-SHA256. RS256 = RSA-PKCS1v1.5-SHA256. ES256 = ECDSA-P256-SHA256. Выбор влияет на распространение ключей и модель доверия.

HS256 использует один общий секретный ключ для подписи и проверки. И издатель, и каждый проверяющий должны владеть одним и тем же секретом. Реализация проста, но требуется безопасно распространить ключ среди всех проверяющих.

HS256 подходит, когда издатель и проверяющий являются одной службой, например монолитное приложение подписывает и проверяет собственные токены. Никогда не используйте HS256, если токены должны проверять несколько независимых служб: всем им потребуется секрет.

RS256 использует закрытый ключ для подписи и открытый ключ для проверки. Только сервер аутентификации хранит закрытый ключ. Все серверы ресурсов получают открытый ключ из конечной точки JWKS и проверяют подписи локально — передавать общий секрет не требуется.

RS256 идеально подходит для микросервисных архитектур: поставщик удостоверений подписывает токены, а каждый последующий сервис проверяет их с помощью открытого ключа без обращения к IDP для каждого запроса. Такая схема хорошо масштабируется по горизонтали без риска, связанного с распространением ключей.

ES256 использует ECDSA на основе P-256. Размер подписи составляет 64 байта против 256 байт у RS256 для ключа длиной 2048 бит. Проверка примерно в 10 раз быстрее, чем у RS256. Этот вариант предпочтителен, когда критичны пропускная способность или скорость проверки, например в мобильных API и устройствах Интернета вещей.

Для RS256/ES256: выполняйте ротацию ключей, публикуя новый ключ (новый kid) в JWKS, подписывая новые токены новым ключом, оставляя льготный период для истечения срока действия старых токенов, а затем удаляя старый ключ. При ротации HMAC необходимо заново распространить новый секрет.

Проверка HS256: ~1 мкс. Проверка RS256: ~100 мкс (2048 бит). Проверка ES256: ~50 мкс (P-256). HS256 работает быстрее всего, но требует совместного использования секрета. ES256 лучше всего сочетает безопасность и производительность для распределённых систем.

Критическая уязвимость: если проверяющая сторона слепо доверяет заголовку alg, злоумышленник может изменить alg с RS256 на HS256 и подписать токен открытым ключом сервера (который является общедоступным), используя его как секрет HMAC. Исправление: никогда не доверяйте заголовку alg.

Решение: один сервис → HS256. Несколько сервисов или микросервисы → RS256 или ES256. Мобильные приложения с большим объёмом запросов → ES256. Если сомневаетесь, используйте ES256 (P-256) или RS256 с ключами длиной не менее 2048 бит. Никогда не используйте RS512 на чувствительных к производительности участках.

Используйте PyJWT (Python), jose (Node.js) или auth0/java-jwt. Всегда явно фиксируйте ожидаемый алгоритм в вызове проверки: jwt.decode(token, secret, algorithms=["HS256"]). Никогда не передавайте algorithms=None и не пропускайте этот параметр.

Почему в архитектурах микросервисов предпочтителен RS256, а не HS256?

HS256 — симметричный алгоритм (общий секрет), а RS256/ES256 — асимметричные (закрытый ключ используется для подписи, открытый — для проверки). Используйте асимметричные алгоритмы в системах с несколькими участниками. Далее: эксплуатация уязвимостей JWT.