Générer des paires de clés RSA avec OpenSSL pour signer des JWT

OpenSSL est un outil puissant pour générer des paires de clés RSA à des fins cryptographiques variées, notamment pour signer des JSON Web Tokens (JWT).

Voici les étapes pour générer des paires de clés RSA avec OpenSSL, ainsi que les options et commandes les plus courantes.

Générer une clé privée

openssl genrsa -out private_key.pem 2048

• -out private_key.pem : Spécifie le chemin du fichier de sortie pour la clé privée.
• 2048 (bits) : La longueur de la clé privée. Il est recommandé d’utiliser un minimum de 2048 bits avec RSA 256. Si possible, préférez une longueur de clé plus grande. Plus la clé est longue, plus le chiffrement est robuste.

Générer une clé publique à partir de la clé privée

openssl rsa -pubout -in private_key.pem -out public_key.pem

• -pubout : Indique à OpenSSL de générer la clé publique.
• -in private_key.pem : Spécifie le fichier de clé privée en entrée.
• -out public_key.pem : Spécifie le fichier de sortie pour la clé publique.

Afficher les détails des clés (optionnel)

Vous pouvez consulter les détails des clés générées avec les commandes OpenSSL suivantes :

openssl rsa -text -in private_key.pem

openssl rsa -pubin -text -in public_key.pem

Ces commandes affichent des informations détaillées sur les clés, notamment le module, l’exposant public, et bien plus encore.

N’oubliez pas de garder votre clé privée en sécurité et de ne jamais la partager publiquement. La clé publique peut être librement partagée et utilisée pour vérifier les signatures.

Une fois votre API configurée pour signer des tokens avec des clés RSA, vous pouvez utiliser VulnAPI pour vérifier que votre implémentation rejette correctement les tokens falsifiés ou faiblement signés, et qu’elle n’expose pas de vulnérabilités JWT courantes comme les attaques par confusion d’algorithme.