KeyClope是否在其JWKendpoint中支持x5*参数？

Question

我使用KeyCloak作为我的身份和访问管理器。

我有一个用例，我需要将敏感信息传输到另一个受信任的方。流程是这样的：

• 我通过受信任方的JWKendpoint检索该方的公钥
• 我使用受信任方的公钥加密敏感数据
• 然后我给自己发了一个JWT令牌。我用我的私钥签名
• 接下来，我将数据与授权头中的JWT令牌一起传输到受信任方
• 受信任方收到我的请求
• 受信任方调用我的JWKendpoint以获取我的公钥
• 受信任方使用我的公钥验证我发送的JWT令牌
• 然后，受信任方使用其私钥解密敏感数据

通过此流程，受信任方可以确信

• 敏感数据在运输途中未被篡改

他们无法确信的是：

• 我就是他们认为的我；我是发送数据的人

他们唯一知道的是，他们在我这边呼叫的endpoint看起来属于我的公司。但是，如果对手拦截请求的方式使其返回自己的公钥并能够发布自己的令牌（由私钥签名），那么他们可以将想要的任何数据传输给受信任方。

这就是x.509证书的用武之地。受信任的一方需要一种方法来确保另一端的一方是我。

KeyClope在5.0中似乎支持x5c（证书链）。0-4天前的快照；这是通过添加/生成新的公钥/私钥对和证书来配置的。如果配置了证书，则可通过JWKSendpoint使用x5c参数。

但是，我还需要提供一个x5t（指纹）参数。Key斗篷是否提供或打算在未来提供任何支持？

Answer 1

我创建并提出了KEYCLOAK-9868的拉请求，以添加x5t和x5t#S256JWK参数。这已经被合并到KeyCloak主，应该可以在5.0.0之后的下一个版本中使用。