GermanWikipedia - /page/entry.mu

Micron Document

<!DOCTYPE html>

<title>JSON Web Token</title>

</head>

<h1 id="firstHeading" class="firstHeading mw-first-heading">JSON Web Token</h1>

</header>

</div>

<div id="mw-content-text" class="mw-body-content mw-content-ltr" lang="de" dir="ltr"><div class="mw-content-ltr mw-parser-output" lang="de" dir="ltr">Ein JSON Web Token (JWT, vorgeschlagene <a href="Liste_der_IPA-Zeichen" title="Liste der IPA-Zeichen">Aussprache</a> [<style data-mw-deduplicate="TemplateStyles:r227981795">

/* start https://de.wikipedia.org/ */

.mw-parser-output .IPA a{text-decoration:none}

/* end https://de.wikipedia.org/ */

</style>dʒɒt]) basiert auf <a href="JavaScript_Object_Notation" class="mw-redirect" title="JavaScript Object Notation">JSON</a> und ist in RFC 7519<a href="#cite_note-1">[1]</a> beschrieben. Das JWT ermöglicht den Austausch von verifizierbaren Claims. Es wird typischerweise verwendet, um in einem System mit einem <a href="Drittanbieter" title="Drittanbieter">Drittanbieter</a> die Identität eines Benutzers zwischen einem <a href="Authentifizierung#Authentifizierung_als_IT-Dienst" title="Authentifizierung">Identity-Provider</a> und einem Service-Provider auszutauschen. JWT eignen sich vor allem zur Implementierung von „Stateless Sessions“, da sämtliche authentifizierungsrelevanten Informationen im Token übertragen werden können und die <a href="Sitzung_(Informatik)" title="Sitzung (Informatik)">Sitzung</a> nicht zusätzlich auf einem Server gespeichert werden muss.

<div class="mw-heading mw-heading2"><h2 id="Aufbau">Aufbau</h2></div>

Ein JWT besteht aus drei Teilen: dem <a href="Header" title="Header">Header</a>, <a href="Nutzdaten" title="Nutzdaten">Payload</a> und der <a href="Digitale_Signatur" title="Digitale Signatur">Signatur</a>.

<div class="mw-heading mw-heading3"><h3 id="Header">Header</h3></div>

Der Header ist ein JSON-Element, welches beschreibt, um welchen Token-Typ es sich handelt und welche Signaturmethode zum Einsatz kommt.

<th>Bedeutung

</th></tr>

<tr>

<td>Beschreibt den <a href="Internet_Assigned_Numbers_Authority" title="Internet Assigned Numbers Authority">IANA</a>-<a href="Internet_Media_Type" title="Internet Media Type">Medientyp</a> des Tokens. Dieser Wert ist immer <code>JWT</code>, um den Medientyp <code>application/jwt</code> zu beschreiben.

</td></tr>

<tr>

<td>Content Type</td>

<td>Dieses Feld wird benötigt, wenn das JWT ein anderes JWT als Payload enthält. In diesem Fall wird es auf <code>JWT</code> gesetzt. Andernfalls sollte dieses Feld weggelassen werden.

</td></tr>

<tr>

<td>Algorithm

</td>

<td>Beschreibt, welche Signaturmethode zum Einsatz kommt. Als Signaturmethode kommt üblicherweise <a href="Keyed-Hash_Message_Authentication_Code" class="mw-redirect" title="Keyed-Hash Message Authentication Code">HMAC</a> mit <a href="SHA-256" class="mw-redirect" title="SHA-256">SHA-256</a> (<code>HS256</code>) oder <a href="RSA-Kryptosystem" title="RSA-Kryptosystem">RSA</a> mit SHA-256 (<code>RS256</code>) zum Einsatz. Es ist möglich, keine Signatur zu verwenden (<code>none</code>), was jedoch nicht empfohlen wird. Die möglichen Werte sind durch die JSON Web Encryption (JWE) nach RFC 7516<a href="#cite_note-2">[2]</a> genormt.

</td></tr></tbody></table>

Der Header sieht beispielsweise wie folgt aus:

<div class="mw-highlight mw-highlight-lang-json mw-content-ltr" dir="ltr"><pre>{

"alg": "HS256",

"typ": "JWT"

}

</pre></div>

<div class="mw-heading mw-heading3"><h3 id="Payload">Payload</h3></div>

Beim Payload handelt es sich um ein JSON-Element, welches die Claims beschreibt.

<div class="mw-highlight mw-highlight-lang-json mw-content-ltr" dir="ltr"><pre>{

"sub": "1234567890",

"name": "John Doe",

"admin": true

}

</pre></div>

Einige Claims sind hierbei reserviert:

<th>Feld

</th>

<th>Name

</th>

<th>Bedeutung

</th></tr>

<tr>

<td>Issuer

</td>

<td>Der Aussteller des Tokens

</td></tr>

<tr>

<td>Subject

</td>

<td>Definiert für welches Subjekt die Claims gelten. Das <code>sub</code>-Feld definiert also für wen oder was die Claims getätigt werden.

</td></tr>

<tr>

<td>Audience</td>

<td>Die Zieldomäne, für die das Token ausgestellt wurde.

</td></tr>

<tr>

<td>Expiration Time

</td>

<td>Das Ablaufdatum des Tokens in <a href="Unixzeit" title="Unixzeit">Unixzeit</a>, also der Anzahl der Sekunden seit <code>1970-01-01T00:00:00Z</code>.

</td></tr>

<tr>

<td>Not Before

</td>

<td>Die <a href="Unixzeit" title="Unixzeit">Unixzeit</a>, ab der das Token gültig ist.

</td></tr>

<tr>

<td>Issued At

</td>

<td>Die <a href="Unixzeit" title="Unixzeit">Unixzeit</a>, zu der das Token ausgestellt wurde.

</td></tr>

<tr>

<td>JWT ID

</td>

<td>Eine eindeutige <a href="Case-sensitiv" class="mw-redirect" title="Case-sensitiv">case-sensitive</a> Zeichenfolge, welche das Token eindeutig identifiziert. Hiermit kann verhindert werden, dass das Token repliziert wird. Hierbei kann es sich etwa um eine durchgezählte Nummer, einen <a href="Globally_Unique_Identifier" class="mw-redirect" title="Globally Unique Identifier">GUID</a> oder einen <a href="Hashwert" class="mw-redirect" title="Hashwert">Hashwert</a> handeln. Falls der Token-Empfänger von mehreren Ausstellern einen Token empfängt, kann es sein, dass die JWT ID nicht eindeutig ist. Durch die Kombination des Ausstellers (iss) und der JWT ID (jti) kann diese wieder eindeutig werden.<a href="#cite_note-3">[3]</a>

</td></tr></tbody></table>

Des Weiteren sind noch Public Claims durch die IANA definiert.<a href="#cite_note-public-4">[4]</a> Zudem kann der Aussteller des JWT auch einen Private Claim definierten <a href="Uniform_Resource_Identifier" title="Uniform Resource Identifier">URI</a> verwenden, welche jedoch nicht standardisiert ist. Beispielsweise kann hier eine Ontologie wie <a href="Dublin_Core" title="Dublin Core">Dublin Core</a> oder <a href="FOAF" title="FOAF">FOAF</a> zum Einsatz kommen.

<div class="mw-heading mw-heading3"><h3 id="Signatur">Signatur</h3></div>

Der Aufbau der Signatur wird durch JSON Web Signature (JWS), einem nach RFC 7515<a href="#cite_note-5">[5]</a> genormten Standard, definiert.

Die Signatur wird dadurch erzeugt, dass der Header und der Payload im <a href="Base64" title="Base64">Base64</a> kodierten und durch einen Punkt getrennten Format mit der spezifizierten Hashmethode (z. B. SHA-256) gehasht und verschlüsselt (z. B. HMAC) wird:

<div class="mw-highlight mw-highlight-lang-javascript mw-content-ltr" dir="ltr"><pre>var encodedString = base64UrlEncode(header) + "." + base64UrlEncode(payload);

var signature = HMACSHA256(encodedString, secret);

</pre></div>

<div class="mw-heading mw-heading3"><h3 id="Codierung">Codierung</h3></div>

Header, Payload und Signatur werden jeweils mit Base64-<a href="Uniform_Resource_Locator" title="Uniform Resource Locator">URL</a> kodiert und durch jeweils einen Punkt voneinander getrennt. Ein JWT Token kann wie folgt aussehen:

<div class="mw-highlight mw-highlight-lang-javascript mw-content-ltr" dir="ltr"><pre>var jwt = base64UrlEncode(header) + "." + base64UrlEncode(payload) + "." + base64UrlEncode(signature)

</pre></div>

<dl><dd><code>eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJzY290Y2guaW8iLCJleHAiOjEzMDA4MTkzODAsIm5hbWUiOiJDaHJpcyBTZXZpbGxlamEiLCJhZG1pbiI6dHJ1ZX0.03f329983b86f7d9a9f5fef85305880101d5e302afafa20154d094b229f75773</code></dd></dl>

<div class="mw-heading mw-heading2"><h2 id="Übertragung_mit_HTTP">Übertragung mit HTTP</h2></div>

Das JWT kann in der URL oder im <a href="HTTP-Header" class="mw-redirect" title="HTTP-Header">HTTP-Header</a> übertragen werden.

<code>http://example.com/path?jwt_token=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9…</code>

Für die Übertragung im HTTP-Header gibt es zwei Möglichkeiten: Das Authorization-Feld oder das Cookie-Feld.

<ul><li>im Authorization-Feld als Bearer-Token: <code style="white-space:nowrap">Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9…</code></li>

<li>im Cookie-Feld: <code style="white-space:nowrap">Cookie: token=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9…</code></li></ul>

Die beiden Methoden haben unterschiedliche Vor- und Nachteile:

<th>Bearer-Token</th>

<th>Cookie

</th></tr>

<tr>

<td>Header

</td>

<td>

<code style="white-space:nowrap">Authorization: Bearer <JWT></code>

</td>

<td>

<code>Cookie: token=<JWT></code>

</td></tr>

<tr>

</td>

<td>Funktioniert mit CORS, jedoch ist eine Implementierung in <a href="JavaScript" title="JavaScript">JavaScript</a> nötig.

</td>

<td>Das Cookie wird vom Browser nur für die aktuelle Domäne übermittelt. CORS ist nicht möglich.

</td></tr>

<tr>

<td>Speicherung

</td>

<td>Alle durch JavaScript ansprechbaren Speichermethoden wie <a href="WebStorage" class="mw-redirect" title="WebStorage">WebStorage</a> und der <a href="HTTP-Cookie" title="HTTP-Cookie">Cookie</a>-Store sind möglich.

</td>

<td>Cookie wird im Cookie-Store hinterlegt.

</td></tr>

<tr>

<td>Schutz gegen <a href="Man-in-the-Middle-Angriff" title="Man-in-the-Middle-Angriff">MITM</a>

</td>

<td>Das Vorhandensein von <a href="Transport_Layer_Security" title="Transport Layer Security">TLS</a> muss in JavaScript geprüft werden.

</td>

<td>Wenn das Flag <code>secure</code> am Cookie gesetzt wird, wird TLS erzwungen.

</td></tr>

<tr>

<td>Schutz gegen <a href="Cross-Site-Scripting" title="Cross-Site-Scripting">XSS</a>

</td>

<td>Muss in JavaScript implementiert werden.

</td>

<td>Implizit, wenn das Flag <code>HttpOnly</code> am Cookie gesetzt wird, um den Zugriff mittels <a href="JavaScript" title="JavaScript">JavaScript</a> zu verhindern.

</td></tr>

<tr>

<td>Schutz gegen <a href="Cross-Site-Request-Forgery" title="Cross-Site-Request-Forgery">CSRF</a>

</td>

<td>Implizit, da Header vom Browser im Gegensatz zu Cookies nicht automatisch gesendet werden.

</td>

<td>Muss in JavaScript implementiert werden.

</td></tr></tbody></table>

<div class="mw-heading mw-heading2"><h2 id="Implementierungen">Implementierungen</h2></div>

Implementierungen für JWT steht für eine Vielzahl von Plattformen zur Verfügung. Eine aktuelle Liste findet sich beispielsweise auf der Seite JWT.io.<a href="#cite_note-implementations-6">[6]</a>

<div class="mw-heading mw-heading2"><h2 id="Security_Event_Token">Security Event Token</h2></div>

Ein Security Event Token (SET) erweitert den JWT Standard um den <code>events</code> Claim, welcher eine Liste von sicherheitsrelevanten Ereignissen aufzeichnet.<a href="#cite_note-selfissued-7">[7]</a> Diese Tokens haben einen digitalen <a href="Zeitstempel" title="Zeitstempel">Zeitstempel</a> und unbegrenzte Gültigkeit. Ein SET-Payload kann wie folgt aussehen:

<div class="mw-highlight mw-highlight-lang-json mw-content-ltr" dir="ltr"><pre>{

"iss": "https://server.example.com",

"sub": "248289761001",

"aud": "s6BhdRkqt3",

"iat": 1471566154,

"jti": "bWJq",

"sid": "08a5019c-17e1-4977-8f42-65a12843ea02",

"events": {

"http://schemas.openid.net/event/backchannel-logout": {}

}

}

</pre></div>

SETs kommen beim <a href="Auditing_(Informationstechnik)" class="mw-redirect" title="Auditing (Informationstechnik)">Auditing</a> zum Einsatz. SETs werden in RFC 8417<a href="#cite_note-8">[8]</a> spezifiziert.

<div class="mw-heading mw-heading2"><h2 id="Siehe_auch">Siehe auch</h2></div>

<ul><li><a href="Security_Assertion_Markup_Language" title="Security Assertion Markup Language">Security Assertion Markup Language</a> (SAML)</li>

<li><a href="OAuth" title="OAuth">OAuth</a> und <a href="OpenID" title="OpenID">OpenID</a></li></ul>

<div class="mw-heading mw-heading2"><h2 id="Weblinks">Weblinks</h2></div>

<ul><li>Bernd Schönbach: <a rel="nofollow" class="external text" href="https://www.heise.de/developer/artikel/Nutzer-Authentifizierung-in-Microservice-Umgebungen-3651632.html">Nutzer-Authentifizierung in Microservice-Umgebungen.</a> In: Heise Developer. 9. Juni 2017, abgerufen am 11. Juni 2017.<span style="display: none;" class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Adc&rfr_id=info%3Asid%2Fde.wikipedia.org%3AJSON+Web+Token&rft.title=Nutzer-Authentifizierung+in+Microservice-Umgebungen&rft.description=Nutzer-Authentifizierung+in+Microservice-Umgebungen&rft.identifier=https%3A%2F%2Fwww.heise.de%2Fdeveloper%2Fartikel%2FNutzer-Authentifizierung-in-Microservice-Umgebungen-3651632.html&rft.creator=Bernd+Sch%C3%B6nbach&rft.date=2017-06-09"> </li></ul>

<div class="mw-heading mw-heading2"><h2 id="Einzelnachweise">Einzelnachweise</h2></div>

/* start https://de.wikipedia.org/ */

.mw-parser-output .dewiki-iconexternal>a{background-position:center right!important;background-repeat:no-repeat!important}body.skin-minerva .mw-parser-output .dewiki-iconexternal>a{background-image:url("./_mw_/OOjs_UI_icon_external-link-ltr-progressive.svg")!important;background-size:10px!important;padding-right:13px!important}body.skin-timeless .mw-parser-output .dewiki-iconexternal>a,body.skin-monobook .mw-parser-output .dewiki-iconexternal>a{background-image:url("./_mw_/MediaWiki_external_link_icon.svg")!important;padding-right:13px!important}body.skin-vector .mw-parser-output .dewiki-iconexternal>a{background-image:url("./_mw_/Link.ernal-small-ltr-progressive.svg")!important;background-size:0.857em!important;padding-right:1em!important}

/* end https://de.wikipedia.org/ */

</style><a href="https://datatracker.ietf.org/doc/html/rfc7519" class="extiw external" title="rfc:7519">7519</a> – JSON Web Token (JWT). Mai 2015 (englisch).

</li>

<li id="cite_note-2"><a href="#cite_ref-2">↑</a> <a href="Request_for_Comments" title="Request for Comments">RFC</a>: <a href="https://datatracker.ietf.org/doc/html/rfc7516" class="extiw external" title="rfc:7516">7516</a> – JSON Web Encryption (JWE). Mai 2015 (englisch).

</li>

<li id="cite_note-3"><a href="#cite_ref-3">↑</a> Prabath Siriwardena: <cite style="font-style:italic">Advanced API Security: OAuth 2.0 and Beyond</cite>. Apress, New York 2020, ISBN 978-1-4842-2049-8, S. 163.<span class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Abook&rfr_id=info:sid/de.wikipedia.org:JSON+Web+Token&rft.au=Prabath+Siriwardena&rft.btitle=Advanced+API+Security%3A+OAuth+2.0+and+Beyond&rft.date=2020&rft.genre=book&rft.isbn=9781484220498&rft.pages=163&rft.place=New+York&rft.pub=Apress" style="display:none">

</li>

<a rel="nofollow" class="external text" href="https://www.iana.org/assignments/jwt/jwt.xhtml">JSON Web Token Claims.</a> 23. Februar 2017, abgerufen am 14. Mai 2017 (Liste der JWT Public Claims).<span style="display: none;" class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Adc&rfr_id=info%3Asid%2Fde.wikipedia.org%3AJSON+Web+Token&rft.title=JSON+Web+Token+Claims&rft.description=JSON+Web+Token+Claims&rft.identifier=https%3A%2F%2Fwww.iana.org%2Fassignments%2Fjwt%2Fjwt.xhtml&rft.date=2017-02-23">

</li>

<li id="cite_note-5"><a href="#cite_ref-5">↑</a> <a href="Request_for_Comments" title="Request for Comments">RFC</a>: <a href="https://datatracker.ietf.org/doc/html/rfc7515" class="extiw external" title="rfc:7515">7515</a> – JSON Web Signature (JWS). Mai 2015 (englisch).

</li>

<a rel="nofollow" class="external text" href="https://jwt.io/">JWT.</a> Auth0, abgerufen am 14. Mai 2017 (englisch).<span style="display: none;" class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Adc&rfr_id=info%3Asid%2Fde.wikipedia.org%3AJSON+Web+Token&rft.title=JWT&rft.description=JWT&rft.identifier=https%3A%2F%2Fjwt.io%2F&rft.publisher=Auth0&rft.language=en">

</li>

<a rel="nofollow" class="external text" href="https://self-issued.info/?p=1620">Security Event Token (SET) Specification and IETF Security Events Working Group.</a> Abgerufen am 14. Mai 2017 (englisch).<span style="display: none;" class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Adc&rfr_id=info%3Asid%2Fde.wikipedia.org%3AJSON+Web+Token&rft.title=Security+Event+Token+%28SET%29+Specification+and+IETF+Security+Events+Working+Group&rft.description=Security+Event+Token+%28SET%29+Specification+and+IETF+Security+Events+Working+Group&rft.identifier=https%3A%2F%2Fself-issued.info%2F%3Fp%3D1620&rft.language=en">

</li>

<li id="cite_note-8"><a href="#cite_ref-8">↑</a> <a href="Request_for_Comments" title="Request for Comments">RFC</a>: <a href="https://datatracker.ietf.org/doc/html/rfc8417" class="extiw external" title="rfc:8417">8417</a> – Security Event Token (SET). Juli 2018 (englisch).

</li>

</ol></div><div><div class="zim-footer">

Dieser Artikel wurde von <a class="external text" title="Zuletzt bearbeitet am 2025-04-25" href="https://de.wikipedia.org/wiki/?title=JSON_Web_Token&oldid=255449548">Wikipedia</a> herausgegeben. Der Text ist unter <a class="external text" href="https://creativecommons.org/licenses/by-sa/4.0/deed.de">Creative Commons Attribution-Share Alike 4.0</a> verfügbar, sofern nicht anders angegeben. Für die Mediendateien können zusätzliche Bedingungen gelten.

</div>

</div></div>

</div>

</main>

</div>

</body></html>