Разъяснения авторизации Hasura

Question

У меня есть две вещи, которые я хотел бы подтвердить, прежде чем двигаться вперед с обходным путем, который я имею в виду.

1. При использовании JWT Auth с алгоритмом HS256 у меня есть ключ длиной менее 32 символов. Я получаю эту ошибку: «Ошибка в $: недопустимый JWK: размер ключа слишком мал; должно быть не менее 32 символов». Так это жесткое требование? или есть какой-нибудь трюк, чтобы превратить это в предупреждение вместо ошибки?

2. Можем ли мы настроить аутентификацию консоли Hasura из секрета администратора? для скажем SSO или что-нибудь?

Answer 1

Для первого да, это жесткое требование. вы можете прочитать больше об этом в RFC 7518

В этом алгоритме НЕОБХОДИМО использовать ключ того же размера, что и выходной хэш (например, 256 бит для «HS256») или больше. (Это требование основано на Разделе 5.3.4 (Влияние ключа HMAC на безопасность) NIST SP 800-117 [NIST.800-107], в котором говорится, что эффективная степень защиты является минимальной степенью защиты ключа и в два раза больше размера внутреннего хеш-значения.)