Sertifikat ​

Sertifikat DAT menyatakan rentang waktu, algoritme, dan kunci yang diperlukan untuk menerbitkan serta memverifikasi token dalam satu string.

cid.start.duration.ttl.sig-alg.crypto-alg.sig-key.crypto-key

Rentang waktu ​

• Sertifikat dapat menerbitkan DAT dari start hingga start + duration, termasuk kedua waktu batas tersebut.
• DAT yang diterbitkan berlaku selama ttl sejak waktu penerbitannya.
• Sertifikat diperlukan untuk verifikasi hingga start + duration + ttl. Sertifikat juga dapat memverifikasi tepat pada waktu tersebut.

Jika sertifikat langsung dihapus ketika periode penerbitan berakhir, DAT yang sudah diterbitkan tidak dapat diverifikasi. Manajer dan CMS menangani kemampuan penerbitan dan kemampuan verifikasi secara terpisah.

ID sertifikat dan rotasi kunci ​

cid adalah kontrak publik yang mengidentifikasi kunci dan rentang waktu. Jangan menimpa cid yang sudah ada dengan kunci lain. Untuk merotasi kunci, buat sertifikat baru dan gunakan cid baru. Layanan menyinkronkan sertifikat baru lebih awal, lalu menghapus sertifikat lama setelah semua DAT yang diterbitkan dengannya kedaluwarsa.

Algoritme tanda tangan ​

HMAC menggunakan kunci yang sama untuk menandatangani dan memverifikasi. Karena itu, memberikan kunci kepada server pemverifikasi juga memungkinkannya menerbitkan. Pada lingkungan yang harus memisahkan kewenangan penerbitan, gunakan ECDSA dan sertifikat khusus verifikasi.

Algoritme enkripsi ​

Nama algoritme merupakan bagian dari kontrak wire. Jangan menggantinya dengan alias yang digunakan dalam JWT.

Sertifikat lengkap dan sertifikat khusus verifikasi ​

Sertifikat ECDSA lengkap memuat kunci privat yang diperlukan untuk menandatangani. Sertifikat khusus verifikasi hanya menyimpan kunci publik ECDSA, tetapi tetap menyimpan kunci AES yang diperlukan untuk mendekripsi secure. Karena itu, layanan khusus verifikasi dapat memeriksa dan mendekripsi DAT, tetapi tidak dapat menerbitkan DAT baru.