Sertifika ​

DAT sertifikası, token vermek ve doğrulamak için gereken zaman aralığını, algoritmaları ve anahtarları tek bir dizgeyle ifade eder.

cid.start.duration.ttl.sig-alg.crypto-alg.sig-key.crypto-key

Zaman aralığı ​

• Sertifika, start zamanından start + duration zamanına kadar DAT verebilir. Her iki uç zaman da dahildir.
• Verilen DAT, verildiği zamandan başlayarak ttl boyunca geçerlidir.
• Sertifika, start + duration + ttl zamanına kadar doğrulama için gereklidir. Tam o anda da doğrulanabilir durumdadır.

Token verme süresi sona erer ermez sertifika silinirse daha önce verilmiş DAT'ler doğrulanamaz. Yönetici ve CMS, token verebilme ile doğrulanabilme durumlarını ayrı ele alır.

Sertifika kimliği ve anahtar değişimi ​

cid, anahtarları ve zaman aralığını tanımlayan açık sözleşmedir. Var olan bir cid üzerine farklı anahtar yazılmaz. Anahtar değiştirilirken yeni bir sertifika oluşturulup yeni bir cid kullanılır. Servisler yeni sertifikayı önceden eşitler; eski sertifika ise onunla verilen tüm DAT'ler sona erdikten sonra kaldırılır.

İmza algoritmaları ​

HMAC aynı anahtarla imzalama ve doğrulama yaptığından anahtarı doğrulama sunucusuna vermek token verme yetkisini de verir. Token verme yetkisinin ayrılması gereken ortamlarda ECDSA ve yalnızca doğrulama sertifikaları kullanın.

Şifreleme algoritmaları ​

Algoritma adları aktarım sözleşmesinin parçasıdır. JWT'de kullanılan takma adlarla değiştirilmez.

Tam sertifika ve yalnızca doğrulama sertifikası ​

Tam ECDSA sertifikası imzalama için gereken özel anahtarı içerir. Yalnızca doğrulama sertifikasında sadece ECDSA açık anahtarı bırakılır, ancak secure verisinin şifresini çözmek için gereken AES anahtarı korunur. Bu nedenle yalnızca doğrulama servisi DAT'yi denetleyip şifresini çözebilir, fakat yeni DAT veremez.