x509 - IdentityServer 3 签名证书到期

Question

当使用 IdentityServer 3 时签名证书(用于签名 jwt token )过期会发生什么？

我不清楚，我找不到任何文档，除了可能会收到它已过期的警告。 (Ref. https://identityserver.github.io/Documentation/docsv2/configuration/events.html )

是否有任何机制可以阻止使用过期的签名证书？
当验证由过期证书签名的 token 时，客户端(客户端是使用 IdentityServer 进行身份验证的 Web API)会发生什么？ (例如，如果 https://github.com/IdentityServer/IdentityServer3.AccessTokenValidation 用作中间件。)

Answer 1

好吧，我刚刚测试了这个(在 IdentityServer4 上)，它似乎可以继续使用过期的签名证书愉快地工作，这是我的测试证书的有效性:



我可以登录，获取 ID token 和访问 token ，然后使用访问 token 访问 API。然而，IdentityServer 所做的是记录警告:

2017-07-13 12:15:54.871 +02:00 [Warning] 
    Certificate "CN=test_expired_signing_certificate" has expired on "13/07/2016 14:14:37"

这与 IdentityServer (3) 文档所说的相符 here :

IdentityServer raises a number of events at runtime, e.g:

snip...

• Expired/invalid/no signing certificate

By default these events are forwarded to the configured log provider - a custom event service can process or forward them in any way suitable for the environment.

因此，这将是您在为时已晚时检测它的方法。更好的选择是在 key 的有效期内定期更新签名 key ，这是一种常见的方法，它也允许在必要时撤销已泄露的 key 。见 this issue在讨论过程的地方，基本上 IdentityServer 可以处理两个键:

[Middleware refreshes] the metadata document ... once a day.

The metadata doc can hold 2 keys - primary and secondary and the middleware will load and use both when present (JWTs have a key identifier that allows picking the right one).

When you start to rollover - set both keys and at some point swap primary and secondary.