JWKS端点是否需要https / TLS？

Question

目前，我们将公钥嵌入到应用程序中以进行JWT验证。我们发现手动密钥轮换非常困难。例如，当我们从服务器替换密钥时，移动应用程序不能在同一天切换密钥。

因此，我们正在研究一种自动密钥轮换方法。这个想法是让客户端切换到JWKS端点，这样它们就可以在不需要手动更新的情况下切换新密钥。

我想问一下，我们是否需要https来保护JKWS端点？因为如果我们使用使用内部CA或自签名证书的https，当证书过期时，我们可能必须手动替换每个客户端中的证书。这违背了自动密钥轮换的目的。

Answer 1

您希望TLS位于JWKS终结点。如果没有TLS，您将无法保证密钥来自您的服务器(有人将能够伪造响应)。因此，JWKS端点上的TLS是必须的。

您不需要相互的TLS，除非对它有一些高安全性要求。

正如您所指出的，最好使用由可信CA签名的证书来实现此目的。