AMQP. Это лучший способ использовать JWT для проверки подлинности на основе сертификатов.

Question

Мы находимся в поисках наилучшего способа обеспечения безопасности соединения AMQP. Наши клиенты AMQP распространяются по всему миру, и подключение к серверу AMQP должно быть безопасным. Мы используем TLS для обеспечения безопасности на уровне транспорта, как рекомендовано oasis-open.org. И теперь ищет механизм AUTH для клиентов AMQP.

Один из способов - использовать один и тот же сертификат TLS для аутентификации пользователя, а ВТОРОЙ способ - использовать новый известный JWT в качестве механизма auth для AMQP. Всякий раз, когда клиент публикует или подписывается на очередь AMQP, он должен получить авторизацию на сервере, отправив JWT на сервер.

Answer 1

JWT выдаются после того, как клиент представляет свои учетные данные через безопасный канал TLS. Ключевым моментом здесь является механизм проверки подлинности

• пользователя/пароль прост в использовании и обслуживании, но это менее безопасно, чем использование клиентских сертификатов. Пользователь может установить слабый пароль или потерять пост-он, где он сделал аннотацию.

• Клиентские сертификаты требуют дополнительной установки на клиентском компьютере. Кража сертификата намного сложнее, потому что вы можете использовать системное хранилище ключей, защищать его паролем или даже использовать аппаратное обеспечение. Но распространение сертификатов - сложный процесс. Вы можете использовать свой собственный СА, но вам нужно подумать о том, как вы собираетесь получить сертификат для пользователя и процесс установки. Кроме того, конфигурация двухканального канала TLS будет сложной в вашем клиенте. Я думаю, что использование внешнего ЦС не является вариантом, потому что каждый пользователь должен будет получить сертификат от этого ЦС, и это процесс, который вы не можете контролировать.