HS256 กับ RS256: JWT แบบสมมาตรกับแบบอสมมาตร

การลงลายเซ็น JWT ใช้อัลกอริทึมแบบสมมาตร (HMAC) หรือแบบอสมมาตร (RSA, ECDSA) HS256 = HMAC-SHA256 RS256 = RSA-PKCS1v1.5-SHA256 ES256 = ECDSA-P256-SHA256 การเลือกนี้มีผลต่อการแจกจ่ายคีย์และรูปแบบความเชื่อถือ

HS256 ใช้คีย์ลับที่ใช้ร่วมกันเพียงหนึ่งคีย์สำหรับทั้งการลงลายเซ็นและการตรวจสอบ ทั้งผู้ออกและผู้ตรวจสอบทุกคนต้องมีคีย์ลับเดียวกัน วิธีนี้นำไปใช้งานได้ง่าย แต่ต้องแจกจ่ายคีย์อย่างปลอดภัยให้ผู้ตรวจสอบทุกคน

HS256 เหมาะเมื่อผู้ออกและผู้ตรวจสอบเป็นบริการเดียวกัน เช่น API แบบโมโนลิทิกที่ลงลายเซ็นและตรวจสอบโทเค็นของตนเอง อย่าใช้ HS256 หากมีบริการอิสระหลายรายการต้องตรวจสอบโทเค็น เพราะทุกบริการจะต้องมีคีย์ลับ

RS256 ใช้คีย์ส่วนตัวสำหรับลงลายเซ็น และใช้คีย์สาธารณะสำหรับตรวจสอบ มีเพียงเซิร์ฟเวอร์ยืนยันตัวตนที่ถือคีย์ส่วนตัว เซิร์ฟเวอร์ทรัพยากรทั้งหมดจะดึงคีย์สาธารณะจากปลายทาง JWKS แล้วตรวจสอบภายในเครื่อง จึงไม่ต้องแบ่งปันคีย์ลับ

RS256 เหมาะอย่างยิ่งกับสถาปัตยกรรมไมโครเซอร์วิส ผู้ให้บริการข้อมูลประจำตัวจะลงลายเซ็นให้โทเค็น และแต่ละบริการปลายทางจะตรวจสอบด้วยคีย์สาธารณะโดยไม่ต้องติดต่อ IDP ในทุกคำขอ วิธีนี้ขยายระบบในแนวนอนได้โดยไม่เสี่ยงจากการแจกจ่ายคีย์

ES256 ใช้ ECDSA บน P-256 ลายเซ็นมีขนาด 64 ไบต์ เทียบกับ 256 ไบต์ของ RS256 สำหรับคีย์ขนาด 2048 บิต การตรวจสอบเร็วกว่า RS256 ประมาณ 10 เท่า เหมาะเมื่อแบนด์วิดท์หรือความเร็วในการตรวจสอบมีความสำคัญ เช่น API บนมือถือและอินเทอร์เน็ตของสรรพสิ่ง

สำหรับ RS256/ES256 ให้หมุนเวียนกุญแจโดยเผยแพร่กุญแจใหม่ (kid ใหม่) ไปยัง JWKS ลงลายเซ็นโทเค็นใหม่ด้วยกุญแจใหม่ เปิดช่วงผ่อนผันให้โทเค็นเก่าหมดอายุ แล้วจึงนำกุญแจเก่าออก การหมุนเวียนแบบ HMAC ต้องแจกจ่ายคีย์ลับใหม่อีกครั้ง

การตรวจสอบ HS256: ประมาณ 1 µs การตรวจสอบ RS256: ประมาณ 100 µs (2048 บิต) การตรวจสอบ ES256: ประมาณ 50 µs (P-256) HS256 เร็วที่สุด แต่ต้องแบ่งปันคีย์ลับ ES256 สร้างสมดุลระหว่างความปลอดภัยและประสิทธิภาพได้ดีที่สุดสำหรับระบบแบบกระจาย

ช่องโหว่ร้ายแรง: หากผู้ตรวจสอบเชื่อถือส่วนหัว alg โดยไม่ตรวจสอบ ผู้โจมตีสามารถเปลี่ยน alg จาก RS256 เป็น HS256 และลงลายเซ็นโทเค็นด้วยกุญแจสาธารณะของเซิร์ฟเวอร์ (ซึ่งเปิดเผยต่อสาธารณะ) โดยใช้กุญแจนั้นเป็นคีย์ลับ HMAC วิธีแก้: อย่าเชื่อถือส่วนหัว alg เด็ดขาด

การตัดสินใจ: บริการเดียว → HS256 บริการหลายตัว/ไมโครเซอร์วิส → RS256 หรือ ES256 แอปมือถือปริมาณสูง → ES256 หากไม่แน่ใจ ให้ใช้ ES256 (P-256) หรือ RS256 ที่ใช้กุญแจขนาดอย่างน้อย 2048 บิต อย่าใช้ RS512 กับเส้นทางที่ไวต่อประสิทธิภาพ

ใช้ PyJWT (Python), jose (Node.js) หรือ auth0/java-jwt กำหนดอัลกอริทึมที่คาดหวังไว้เสมอในการเรียกใช้การตรวจสอบ: jwt.decode(token, secret, algorithms=["HS256"]). อย่าส่ง algorithms=None หรือเว้นพารามิเตอร์นี้

เหตุใดจึงนิยมใช้ RS256 มากกว่า HS256 ในสถาปัตยกรรมไมโครเซอร์วิส

HS256 เป็นแบบสมมาตร (ใช้คีย์ลับร่วมกัน) ส่วน RS256/ES256 เป็นแบบอสมมาตร (ใช้กุญแจส่วนตัวลงลายเซ็น ใช้กุญแจสาธารณะตรวจสอบ) ใช้อัลกอริทึมแบบอสมมาตรสำหรับระบบที่มีหลายฝ่าย ต่อไป: การใช้ประโยชน์จากช่องโหว่ JWT