معايير التعريف الحديثة: OAuth 2.0 و OpenID Connect و WebAuthn

بروتوكول OAuth 2.0

• Resource Owner — , MySite .
• Client ( MySite) — , Authorization Server Resource Server .
• Authorization Server — / , .
• Resource Server — , API. Authorization Server Resource Server .

Authorization flow

• MySite :
• MySite Name ( ), Homepage ( MySite) Callback (, )
• تقدم الشبكة الاجتماعية معرف العميل (يسمى أحيانًا AppID) وسر العميل.
• يجب تسجيل معرف المطور في معرف العميل وسر العميل.

1. يقوم مالك المورد بتسجيل الدخول إلى العميل (MySite) ، ويحدد خيار "تسجيل الدخول باستخدام الشبكة الاجتماعية" ، ويقوم الموقع بإعادة توجيه المستخدم إلى الشبكة الاجتماعية على خادم التخويل.
2. يتحقق خادم التفويض مما إذا كان المستخدم لديه جلسة نشطة أم لا ، ثم يعرض نموذج تسجيل الدخول.
3. يقوم مالك المورد بإدخال اسم المستخدم / كلمة المرور الخاصة به ويؤكد أنه يمكن استخدام بعض البيانات الخاصة بواسطة MySite ، مثل اسم المستخدم أو عنوان البريد الإلكتروني.
4. يتحقق خادم التفويض من المستخدم ويعيد التوجيه إلى عنوان الاستدعاء مع نتيجة المصادقة و "رمز التفويض"
5. Client “Authorization Code”, Client ID Client Secret.
6. Authorization Server “access token” JWT (JSON Web Token), . JWT “refresh token”, c .
7. Client API, “access token”.
8. Resource Server “access token” (, Authorization Server) .

OAuth 2.0 (GitHub)

• الصفحة الرئيسية: MySite / home
• رد الاتصال : MySite / callback

• الرقم التعريفي للعميل: ab8ec08a620c2
• سر العميل: e6fdd52b0a99e8fbe76b05c1b7bb93c1e

https://github.com/login/oauth/authorize?client_id=ab8ec08a620c2

• العنوان هو نقطة تسجيل الدخول على جيثب
• client_id هو معرّف العميل الذي تم إصداره أثناء التسجيل

http://MySite/home?code=a29b348f63d21

https://github.com/login/oauth/access_token?client_id=ab8ec08a620c2&
client_secret=e6fdd52b0a99e8fbe76b05c1b7bb93c1e&
code=a29b348f63d21

• العنوان هو نقطة استقبال رمز الدخول على جيثب
• client_id هو معرّف العميل الذي تم إصداره أثناء التسجيل
• client_secret هو سر عميل يتم إصداره أثناء التسجيل
• الكود هو الكود الذي تم إرساله للتو

access_token=31b71cbd372acdbb20ec1644b824f3dd0&scope=&token_type=bearer

curl -H "Authorization: token 31b71cbd372acdbb20ec1644b824f3dd0" https://api.github.com/user

{
  "login": "AlexeySushkov",
  "html_url": "https://github.com/AlexeySushkov",
  "repos_url": "https://api.github.com/users/AlexeySushkov/repos",
  "name": "Alexey Sushkov",
  "blog": "http://sushkov.ru",
  "location": "St.Petersburg, Russia",
  "email": "alexey.p.sushkov@gmail.com",
 ..
}  

تواصل Openid

• C OAuth 2.0 .. access token, . access token MySite. OpenID Connect — (identity). .
• OpenID Connect “service discovery”. SSO (Single Sign-On), .

• يقوم خادم المصادقة ، بالإضافة إلى رمز الوصول ورمز التحديث ، بإرجاع "رمز الهوية" (رمز مميز). وهي واردة في نفس JWT. يمكن استخراج المعلومات التالية من ID Token: اسم المستخدم ووقت تسجيل الدخول وتاريخ انتهاء صلاحية ID ID. يمكن نقل معرفات الرمز المميز بين المشاركين.
• يوفر OIDC واجهة برمجة تطبيقات إضافية تسمح لك بطلب معلومات حول المستخدم وجلساته الحالية.

• في الطلب الأولي للرمز ، تتم إضافة سمة إضافية ، نطاق = openid.
• نتيجة للخوارزمية ، يتلقى العميل ، بالإضافة إلى الوصول وتحديث الرمز المميز ، معرف الرمز المميز.

OpenID Connect: Lab (جوجل)

https://accounts.google.com/o/oauth2/v2/auth?
response_type=code&
client_id=140797064495-b8b79j42m97nkkrlndfstikv8.apps.googleusercontent.com&
scope=openid%20email&
redirect_uri=http%3A//c18529.shared.hc.ru/wp-login.php&
state=765439764

• العنوان هو نقطة تسجيل الدخول على Google
• response_type = كود - توقع استلام كود في الرد
• client_id - معرف العميل الصادر أثناء التسجيل
• نطاق = بريد إلكتروني مفتوح - ما هي البيانات التي نريد الوصول إليها
• redirect_uri - تم تحديد redirect_uri أثناء تسجيل التطبيق
• الحالة - الرقم الذي يتم إنشاؤه بواسطة العميل ، والذي يتم إرساله بين العميل و AS للحماية من تداخل الدخيل.

http://MySite?state=123&code=4/xAFkcMzhyJhUErRJYwIyntSYN-WeJjfZHLiwWL4IaT-WkHzMU18xABlPmev-M_87wVbqTkQ1y93w6GB5&scope=email+openid+https://www.googleapis.com/auth/userinfo.email&authuser=0&prompt=none

curl -d "code=4/xAFkcMzhyJhUErRJYwIyntSYN-WeJjfZHLiwWL4IaT-WkHzMU18xABlPmev-M_87wVbqTkQ1y93w6GB5&client_id=140797064495-b8b79j42m97nkkrlndfstikv8.apps.googleusercontent.com&
client_secret=HMVctrTicW6RC1Q8T&
redirect_uri=http%3A//c18529.shared.hc.ru/wp-login.php&
grant_type=authorization_code" 
-H "Content-Type: application/x-www-form-urlencoded" -X POST https://oauth2.googleapis.com/token

• العنوان هو نقطة استلام الرمز المميز على Google
• الكود هو الكود الذي تم إرساله للتو
• client_id هو معرّف العميل الذي تم إصداره أثناء التسجيل
• client_secret هو سر عميل يتم إصداره أثناء التسجيل
• Grant_type = Authorization_code - القيمة الصالحة الوحيدة من المعيار

{
  "access_token": "ya29.Il_AB0KeKnjBJx0dhjm2nCLt1B-Mq0aQBW5T302JnlZfsxW1AXqLFfDJZRMi2R2WKG4OX4msKLjx4E4CSl4G_4ajAy3aqrf4pM0ic0jJr092pA67H9aktJktCbx",
  "expires_in": 3327,
  "scope": "openid https://www.googleapis.com/auth/userinfo.email",
  "token_type": "Bearer",
  "id_token": "eyJhbGciOiJSUzI1NiIsImtpZCI6IjE3ZDU1ZmY0ZTEwOTkxZDZiMGVmZDM5MmI5MWEzM2U1
………………………………_…………………………………………………….._4mUTiMNSAHljap1hLD2hAzgOZWuQ"
}

curl -H "Authorization: Bearer ya29.a0Adw1xeWvFoxHKNICHnV6vFFj5TZdPQVlYD98h8wjW95ZEbHVui_pk7HGRoq3Q7MlVLV23xkVM0yyjSP8ClSlvfUy3b_IqvKQW5Lvwj38QzJhee-aH1grerB4pRpMzn_FGueigG_RGI56pKPgFBTr49cpynQy" https://www.googleapis.com/gmail/v1/users/alexey.p.sushkov@gmail.com/profile

{
 "emailAddress": "alexey.p.sushkov@gmail.com",
 "messagesTotal": 372543,
...
}

https://oauth2.googleapis.com/tokeninfo?id_token=eyJhbGciOiJSUzI1NiIsImtpZCI6IjE3ZDU1ZmY0ZTEwOTkxZDZiMGVmZDM5MmI5MWEzM2U1NGMwZTIxOGIiLCJ0eXAiOi
………………………_……………………………...
SVQ5GQni3irfOzOXYEiqijp6TjGa_a-3jKcEsU5TbasZmAIejsdVcNy2_4mUTiMNSAHljap1hLD2hAzgOZWuQ

{
  "iss": "https://accounts.google.com",
  "email": "alexey.p.sushkov@gmail.com",
  "email_verified": "true",
  "iat": "1583257010",
  "exp": "1583260610",
  "typ": "JWT"
...
}

Webauthn

• يسمح المعيار للمستخدمين بتعريف أنفسهم على مواقع الويب والتطبيقات التي تستخدم مفاتيح الأمان الخارجية (على سبيل المثال ، مفاتيح USB) أو عن طريق بصمة الإصبع ، وبالتالي عن طريق البيانات البيومترية الأخرى: الوجه والشبكية.
• — / «Public key cryptography». Public key cryptography — , . Private key ( ) , public key ( ) .
• W3C (World Wide Web Consortium) FIDO, Google, Mozilla, Microsoft, Yubico. W3C HTTP, HTML, XML . WebAuthn. WebAuthn : Chrome, Firefox, Edge, Safari.

• توليد أوراق اعتماد المفتاح العام (أزواج المفاتيح العامة / الخاصة).
• يقوم Authenticator بتخزين المفتاح الخاص بشكل آمن في ذاكرته
• تمرير المفتاح العمومي إلى الأنظمة الخارجية
• يوقع البيانات بمفتاح خاص وينقل النتيجة إلى أنظمة خارجية

تدفق التفويض

• ؛ navigator.credentials.create - لإنشاء بيانات اعتماد المستخدم
• navigator.credentials.get - للتحقق من بيانات اعتماد المستخدم

1. “WebAuthn”. , , WebAuthn, “ ” “ ”. Relying Party Challenge. Challenge — , Code OAuth 2.0.
2. Relying Party Challenge. , REST API.
3. Authenticator- CTAP (Client to Authenticator Protocols). navigator.credentials.get c :
   
   
   • Challenge
4. Authenticator , , .
5. , Authenticator .
6. يرسل التطبيق البيانات الموقعة إلى Relying Party.
7. يقوم Relying Party بفك تشفير البيانات باستخدام المفتاح العام ، والتحقق من التحدي وتفويض المستخدم.

WebAuthn: مختبر (جوجل)

استنتاج

• OAuth 2.0 - يُستخدم لتسجيل المستخدمين وتسجيل دخولهم إلى المواقع التي تستخدم الشبكات الاجتماعية. وأيضًا للحصول على بيانات المستخدم من الشبكات الاجتماعية.
• OpenID Connect — . OpenID Connect SSO .
• WebAuthn — .

• , , .
• , , .
• من المنطقي مصادقة المستخدمين على الأنظمة الأساسية السحابية مثل Facebook أو Google ، مثل يوظفون أفضل خبراء الأمن الذين يمكنهم توفير جميع الفروق الدقيقة في الأمن.
• أقترح متفائلة بشأن المستقبل ، لأنه بروتوكول WebAuthn - فرصة حقيقية للتخلص من جحيم كلمة المرور في عصرنا!

ملحق: بروتوكولات المصادقة الأخرى

SAML 2.0 (لغة ترميز تأكيد الأمان)

واجهة برمجة تطبيقات إدارة بيانات الاعتماد

• قم بتخزين هوية المشتركين ، مما يسمح للمستخدمين بالوصول إلى المواقع دون إدخال كلمات المرور ، ولكن استخدام كلمات المرور من المتجر.
• حدد الحسابات اللازمة لإدخال مواقع معينة.
• يسمح لك باستخدام تسجيلات الدخول / كلمات المرور التي تم إدخالها على جهاز واحد على أجهزة أخرى.

مبادرة المصادقة المفتوحة (OATH)

قائمة كاملة بالبروتوكولات المستندة إلى بروتوكول OAuth 2.0

• OpenID Connect - تمت مراجعته مسبقًا بالتفصيل
• UMA 1.0 ملف تعريف الوصول المُدار بواسطة المستخدم (UMA) لـ OAuth 2.0
• UMA 2.0 منح الوصول المُدار بواسطة المستخدم (UMA) 2.0 لتفويض OAuth 2.0
• رابط IndieAuth بمعيار W3C