面试题：安全认证之JWT加密与解密：复杂场景应对

1. 设计JWT加密与解密机制

选择加密算法：
- 对于敏感信息加密，推荐使用对称加密算法如AES（高级加密标准），它在加密和解密时使用相同的密钥，加解密速度快，适合对大量数据进行加密。例如，可以选择AES - 256，它具有较高的安全性。
加密流程：
- 生成密钥：在服务端生成一个AES加密密钥。这个密钥需要妥善保管，例如可以存储在安全的密钥管理系统（KMS）中。
- 加密敏感信息：在生成JWT之前，先对敏感信息使用AES密钥进行加密。假设敏感信息存储在一个JSON对象中，例如{ "sensitiveData": "confidentialInfo" }，使用AES加密库（如Python中的pycryptodome库）对这个JSON字符串进行加密，得到加密后的密文。
- 构建JWT：将加密后的密文作为JWT的一个自定义字段添加到JWT载荷（payload）中。例如：

import jwt
from Crypto.Cipher import AES
from Crypto.Util.Padding import pad, unpad
import json

# 生成或获取AES密钥
aes_key = b'sixteen byte key' 
sensitive_info = { "sensitiveData": "confidentialInfo" }
json_sensitive = json.dumps(sensitive_info).encode('utf - 8')
cipher = AES.new(aes_key, AES.MODE_CBC)
ct_bytes = cipher.encrypt(pad(json_sensitive, AES.block_size))
iv = cipher.iv

# 构建JWT
payload = {
    "sub": "user_id",
    "exp": 1609459200,
    "encrypted_sensitive": ct_bytes.hex(),
    "iv": iv.hex()
}
jwt_token = jwt.encode(payload, "your_secret_key", algorithm="HS256")

解密流程：
- 获取密钥：在接收JWT的微服务中，从密钥管理系统获取相同的AES密钥。
- 提取加密数据：从JWT的载荷中提取加密的敏感信息和初始化向量（IV，用于AES - CBC模式）。
- 解密敏感信息：使用AES密钥和提取的IV对加密数据进行解密，将解密后的字节数据转换回原始的JSON格式，得到敏感信息。例如：

import jwt
from Crypto.Cipher import AES
from Crypto.Util.Padding import unpad
import json

# 假设已从KMS获取AES密钥
aes_key = b'sixteen byte key' 
decoded_jwt = jwt.decode(jwt_token, "your_secret_key", algorithms=["HS256"])
ct = bytes.fromhex(decoded_jwt['encrypted_sensitive'])
iv = bytes.fromhex(decoded_jwt['iv'])
cipher = AES.new(aes_key, AES.MODE_CBC, iv)
pt = unpad(cipher.decrypt(ct), AES.block_size)
decrypted_info = json.loads(pt.decode('utf - 8'))

2. 密钥安全同步与管理

使用密钥管理系统（KMS）：
- 集中存储：选择一个成熟的KMS，如AWS Key Management Service（AWS KMS）、Google Cloud KMS或HashiCorp Vault。将AES加密密钥存储在KMS中，KMS提供了强大的密钥保护机制，如硬件安全模块（HSM）来存储和管理密钥。
- 权限控制：通过KMS的权限管理功能，为每个微服务分配适当的权限来获取密钥。例如，只有需要解密敏感信息的微服务才被授予读取特定AES密钥的权限。
- 密钥轮转：KMS支持密钥轮转功能。定期更新AES密钥，当新密钥生成后，逐步更新各个微服务使用新密钥进行加密和解密操作。例如，在一定时间窗口内，使用新旧密钥同时进行解密尝试，确保数据的连续性，之后完全切换到新密钥。
安全传输：
- HTTPS：当微服务从KMS获取密钥时，确保使用HTTPS协议进行通信，防止密钥在传输过程中被窃取。
- 临时凭证：对于一些KMS，如AWS KMS，可以使用临时凭证来访问密钥。这些临时凭证具有有限的有效期和特定的权限，进一步增强了密钥获取过程的安全性。
监控与审计：
- 日志记录：在KMS和微服务中记录所有与密钥相关的操作日志，包括密钥的获取、使用和更新等操作。通过分析这些日志，可以及时发现异常行为，如未经授权的密钥访问。
- 异常检测：利用安全信息和事件管理（SIEM）工具，对密钥相关的日志进行实时监控，设置警报规则，当检测到异常的密钥操作时及时通知安全团队。

星途面试题库

面试题：安全认证之JWT加密与解密：复杂场景应对

知识考点

面试题答案

1. 设计JWT加密与解密机制

2. 密钥安全同步与管理