https://www.weblio.jp/content/JSON_Web_Encryption

JSON Web Encryption
	JSON Web Encryption (JWE)
ステータス	提案済み
開始年	2012年1月16日
初版	2012年1月16日
最新版	2015年5月
組織	IETF
シリーズ	JOSE
著者	Michael Jones; Joe Hildebrand;
ドメイン	暗号化、認証
略称	JWE
ウェブサイト	datatracker.ietf.org/doc/html/rfc7516

JSON Web Encryption（JWE）は、JSONとBase64を基にした、暗号化されたデータを交換のために標準化された構文を提供しているIETFの標準である^[1]。RFC 7516で定義されている。JSON Web Signature（JWS）とともに、JWT（JSON Web Token）の2つの可能なフォーマットの1つである。JWEはJavaScript Object Signing and Encryption（JOSE）プロトコルスイートの一部を構成している^[2]。

脆弱性

2017年3月、JWEの多くの人気の実装でinvalid curve攻撃を可能にしてしまう深刻な欠陥が発見された^[3]。

JWEの初期の（仕様の最終版が決定する前の）バージョンの実装の1つも、Bleichenbacherの攻撃（英語版）の被害を受けた^[4]。

出典

^ Ng, Alex Chi Keung (26 January 2018). Contemporary Identity and Access Management Architectures: Emerging Research and Opportunities. IGI Global. pp. 215. ISBN 978-1-5225-4829-4. "JWE is a means of representing encrypted content using JSON data structures."
^ Fontana, John (January 21, 2013). “Developers getting JSON-based options for enterprise authentication” (英語). ZDNet 2018年6月8日閲覧。
^ Rashid, Fahmida (27 March 2017). “Critical flaw alert! Stop using JSON encryption”. InfoWorld 8 June 2018閲覧。
^ Jager, Tibor; Schinzel, Sebastian; Somorovsky, Juraj (2012), “Bleichenbacher's Attack Strikes again: Breaking PKCS#1 v1.5 in XML Encryption” (英語), Computer Security – ESORICS 2012 (Springer Berlin Heidelberg): 752–769, doi:10.1007/978-3-642-33167-1_43, ISBN 9783642331664, "Beyond XML Encryption, the recent JSON Web Encryption (JWE) specification prescribes PKCS#1 v1.5 as a mandatory cipher. This specification is under development and at the time of writing there existed only one implementation following this specification. We verified that this implementation was vulnerable to two versions of the Bleichenbacher’s attack: the direct attack based on error messages and the timing-based attack."

[Keung2018-1] Ng, Alex Chi Keung (26 January 2018). Contemporary Identity and Access Management Architectures: Emerging Research and Opportunities. IGI Global. pp. 215. ISBN 978-1-5225-4829-4. "JWE is a means of representing encrypted content using JSON data structures."

[2] Fontana, John (January 21, 2013). “Developers getting JSON-based options for enterprise authentication” (英語). ZDNet 2018年6月8日閲覧。

[3] Rashid, Fahmida (27 March 2017). “Critical flaw alert! Stop using JSON encryption”. InfoWorld 8 June 2018閲覧。

[4] Jager, Tibor; Schinzel, Sebastian; Somorovsky, Juraj (2012), “Bleichenbacher's Attack Strikes again: Breaking PKCS#1 v1.5 in XML Encryption” (英語), Computer Security – ESORICS 2012 (Springer Berlin Heidelberg): 752–769, doi:10.1007/978-3-642-33167-1_43, ISBN 9783642331664, "Beyond XML Encryption, the recent JSON Web Encryption (JWE) specification prescribes PKCS#1 v1.5 as a mandatory cipher. This specification is under development and at the time of writing there existed only one implementation following this specification. We verified that this implementation was vulnerable to two versions of the Bleichenbacher’s attack: the direct attack based on error messages and the timing-based attack."

[1]

[2]

[3]

[4]

表話編歴データ交換（英語版）フォーマット
対人可読フォーマット	Atom CSV EDIFACT（英語版） JSON Web Encryption Web Token Web Signature（英語版）プロパティリスト RDF Rebol TOML XML YAML
バイナリフォーマット	AMF（英語版） Ascii85 ASN.1 SMI（英語版） Avro Base32 Base64 Bencode（英語版） BSON UBJSON（英語版） Cap'n Proto（英語版） CBOR（英語版） FlatBuffers（英語版） MessagePack プロパティリスト Protocol Buffers Thrift Cyphal（英語版） DSDL XDR uuencode（英語版） yEnc（英語版）

JSON Web Encryption

脆弱性

出典

急上昇のことば