Moderne Identifikationsstandards: OAuth 2.0, OpenID Connect, WebAuthn

OAuth 2.0

• Resource Owner — , MySite .
• Client ( MySite) — , Authorization Server Resource Server .
• Authorization Server — / , .
• Resource Server — , API. Authorization Server Resource Server .

Authorization flow

• MySite :
• MySite Name ( ), Homepage ( MySite) Callback (, )
• Das soziale Netzwerk gibt die Client-ID (manchmal auch als AppID bezeichnet) und das Client-Geheimnis aus.
• Die Entwickler-ID muss in der Client-ID und im Client-Geheimnis registriert sein.

1. Der Ressourcenbesitzer meldet sich beim Client (MySite) an, wählt die Option "Mit dem sozialen Netzwerk anmelden" und leitet den Benutzer zum sozialen Netzwerk auf dem Autorisierungsserver weiter.
2. Der Autorisierungsserver prüft, ob der Benutzer eine aktive Sitzung hat, und zeigt andernfalls das Anmeldeformular an.
3. Der Ressourcenbesitzer gibt seinen Benutzernamen / sein Passwort ein und bestätigt, dass bestimmte private Daten von MySite verwendet werden können, z. B. Benutzername oder E-Mail-Adresse.
4. Der Autorisierungsserver überprüft den Benutzer und leitet ihn mit dem Authentifizierungsergebnis und dem "Autorisierungscode" an die Rückrufadresse weiter.
5. Client “Authorization Code”, Client ID Client Secret.
6. Authorization Server “access token” JWT (JSON Web Token), . JWT “refresh token”, c .
7. Client API, “access token”.
8. Resource Server “access token” (, Authorization Server) .

OAuth 2.0 (GitHub)

• Homepage: MySite / Home
• Rückruf : MySite / Rückruf

• Client-ID: ab8ec08a620c2
• Kundengeheimnis: e6fdd52b0a99e8fbe76b05c1b7bb93c1e

https://github.com/login/oauth/authorize?client_id=ab8ec08a620c2

• Die Adresse ist der Login-Punkt auf Github
• client_id ist die bei der Registrierung ausgegebene Client-ID

http://MySite/home?code=a29b348f63d21

https://github.com/login/oauth/access_token?client_id=ab8ec08a620c2&
client_secret=e6fdd52b0a99e8fbe76b05c1b7bb93c1e&
code=a29b348f63d21

• Die Adresse ist der Zugriffstoken-Empfangspunkt auf GitHub
• client_id ist die bei der Registrierung ausgegebene Client-ID
• client_secret ist ein Client-Geheimnis, das bei der Registrierung ausgegeben wird
• Code ist der gerade gesendete Code

access_token=31b71cbd372acdbb20ec1644b824f3dd0&scope=&token_type=bearer

curl -H "Authorization: token 31b71cbd372acdbb20ec1644b824f3dd0" https://api.github.com/user

{
  "login": "AlexeySushkov",
  "html_url": "https://github.com/AlexeySushkov",
  "repos_url": "https://api.github.com/users/AlexeySushkov/repos",
  "name": "Alexey Sushkov",
  "blog": "http://sushkov.ru",
  "location": "St.Petersburg, Russia",
  "email": "alexey.p.sushkov@gmail.com",
 ..
}  

Openid verbinden

• C OAuth 2.0 .. access token, . access token MySite. OpenID Connect — (identity). .
• OpenID Connect “service discovery”. SSO (Single Sign-On), .

• Der Autorisierungsserver gibt zusätzlich zum Zugriffstoken und zum Aktualisierungstoken ein „Identitätstoken“ (ID-Token) zurück. Es ist in derselben JWT enthalten. Die folgenden Informationen können aus dem ID-Token extrahiert werden: Benutzername, Anmeldezeit, Ablaufdatum des ID-Tokens. Token-IDs können zwischen Teilnehmern übertragen werden.
• OIDC bietet eine zusätzliche API, mit der Sie Informationen über den Benutzer und seine aktuellen Sitzungen anfordern können.

• In der ersten Codeanforderung wird ein zusätzliches Attribut, scope = openid, hinzugefügt.
• Als Ergebnis des Algorithmus erhält der Client zusätzlich zum Zugriff und zum Aktualisieren des Tokens eine Token-ID.

OpenID Connect: Lab (Google)

https://accounts.google.com/o/oauth2/v2/auth?
response_type=code&
client_id=140797064495-b8b79j42m97nkkrlndfstikv8.apps.googleusercontent.com&
scope=openid%20email&
redirect_uri=http%3A//c18529.shared.hc.ru/wp-login.php&
state=765439764

• Adresse ist der Login-Punkt bei Google
• response_type = code - Erwarten Sie, dass Sie als Antwort Code erhalten
• client_id - Client-ID, die bei der Registrierung ausgegeben wurde
• scope = openid email - auf welche Daten möchten wir zugreifen?
• redirect_uri - redirect_uri, das bei der Registrierung der Anwendung angegeben wurde
• state - Die vom Client generierte Nummer, die zum Schutz vor Eindringlingen zwischen Client und AS übertragen wird.

http://MySite?state=123&code=4/xAFkcMzhyJhUErRJYwIyntSYN-WeJjfZHLiwWL4IaT-WkHzMU18xABlPmev-M_87wVbqTkQ1y93w6GB5&scope=email+openid+https://www.googleapis.com/auth/userinfo.email&authuser=0&prompt=none

curl -d "code=4/xAFkcMzhyJhUErRJYwIyntSYN-WeJjfZHLiwWL4IaT-WkHzMU18xABlPmev-M_87wVbqTkQ1y93w6GB5&client_id=140797064495-b8b79j42m97nkkrlndfstikv8.apps.googleusercontent.com&
client_secret=HMVctrTicW6RC1Q8T&
redirect_uri=http%3A//c18529.shared.hc.ru/wp-login.php&
grant_type=authorization_code" 
-H "Content-Type: application/x-www-form-urlencoded" -X POST https://oauth2.googleapis.com/token

• Adresse ist der Token-Empfangspunkt bei Google
• Code ist der gerade gesendete Code
• client_id ist die bei der Registrierung ausgegebene Client-ID
• client_secret ist ein Client-Geheimnis, das bei der Registrierung ausgegeben wird
• grant_type = authorisation_code - der einzig gültige Wert aus dem Standard

{
  "access_token": "ya29.Il_AB0KeKnjBJx0dhjm2nCLt1B-Mq0aQBW5T302JnlZfsxW1AXqLFfDJZRMi2R2WKG4OX4msKLjx4E4CSl4G_4ajAy3aqrf4pM0ic0jJr092pA67H9aktJktCbx",
  "expires_in": 3327,
  "scope": "openid https://www.googleapis.com/auth/userinfo.email",
  "token_type": "Bearer",
  "id_token": "eyJhbGciOiJSUzI1NiIsImtpZCI6IjE3ZDU1ZmY0ZTEwOTkxZDZiMGVmZDM5MmI5MWEzM2U1
………………………………_…………………………………………………….._4mUTiMNSAHljap1hLD2hAzgOZWuQ"
}

curl -H "Authorization: Bearer ya29.a0Adw1xeWvFoxHKNICHnV6vFFj5TZdPQVlYD98h8wjW95ZEbHVui_pk7HGRoq3Q7MlVLV23xkVM0yyjSP8ClSlvfUy3b_IqvKQW5Lvwj38QzJhee-aH1grerB4pRpMzn_FGueigG_RGI56pKPgFBTr49cpynQy" https://www.googleapis.com/gmail/v1/users/alexey.p.sushkov@gmail.com/profile

{
 "emailAddress": "alexey.p.sushkov@gmail.com",
 "messagesTotal": 372543,
...
}

https://oauth2.googleapis.com/tokeninfo?id_token=eyJhbGciOiJSUzI1NiIsImtpZCI6IjE3ZDU1ZmY0ZTEwOTkxZDZiMGVmZDM5MmI5MWEzM2U1NGMwZTIxOGIiLCJ0eXAiOi
………………………_……………………………...
SVQ5GQni3irfOzOXYEiqijp6TjGa_a-3jKcEsU5TbasZmAIejsdVcNy2_4mUTiMNSAHljap1hLD2hAzgOZWuQ

{
  "iss": "https://accounts.google.com",
  "email": "alexey.p.sushkov@gmail.com",
  "email_verified": "true",
  "iat": "1583257010",
  "exp": "1583260610",
  "typ": "JWT"
...
}

Webauthn

• Der Standard ermöglicht es Benutzern, sich auf Websites und in Anwendungen mit externen Sicherheitsschlüsseln (z. B. USB-Sticks) oder anhand eines Fingerabdrucks und anschließend anhand anderer biometrischer Daten zu identifizieren: Gesicht, Netzhaut.
• — / «Public key cryptography». Public key cryptography — , . Private key ( ) , public key ( ) .
• W3C (World Wide Web Consortium) FIDO, Google, Mozilla, Microsoft, Yubico. W3C HTTP, HTML, XML . WebAuthn. WebAuthn : Chrome, Firefox, Edge, Safari.

• Generierung von Anmeldeinformationen für öffentliche Schlüssel (öffentliche / private Schlüsselpaare).
• Authenticator speichert den privaten Schlüssel sicher in seinem Speicher
• Übergibt den öffentlichen Schlüssel an externe Systeme
• Signiert Daten mit einem privaten Schlüssel und überträgt das Ergebnis an externe Systeme

Autorisierungsablauf

• navigator.credentials.create - um Benutzeranmeldeinformationen zu erstellen
• navigator.credentials.get - überprüft die Benutzeranmeldeinformationen

1. “WebAuthn”. , , WebAuthn, “ ” “ ”. Relying Party Challenge. Challenge — , Code OAuth 2.0.
2. Relying Party Challenge. , REST API.
3. Authenticator- CTAP (Client to Authenticator Protocols). navigator.credentials.get c :
   
   
   • Challenge
4. Authenticator , , .
5. , Authenticator .
6. Die Anwendung sendet die signierten Daten an die vertrauende Partei.
7. Die vertrauende Partei entschlüsselt die Daten mit dem öffentlichen Schlüssel, überprüft die Herausforderung und autorisiert den Benutzer.

WebAuthn: Lab (Google)

Fazit

• OAuth 2.0 - wird verwendet, um Benutzer über soziale Netzwerke auf Websites zu registrieren und anzumelden. Und auch um Benutzerdaten aus sozialen Netzwerken zu erhalten.
• OpenID Connect — . OpenID Connect SSO .
• WebAuthn — .

• , , .
• , , .
• Es ist sinnvoll, Benutzer bei Cloud-Plattformen wie Facebook oder Google zu authentifizieren Sie beschäftigen die besten Sicherheitsexperten, die alle Nuancen der Sicherheit bieten können.
• Ich schlage optimistisch für die Zukunft vor, weil WebAuthn-Protokoll - eine echte Chance, die Passwort-Hölle unserer Zeit loszuwerden!

Anhang: Andere Authentifizierungsprotokolle

SAML 2.0 (Security Assertion Markup Language)

API zur Verwaltung von Anmeldeinformationen

• Speichern Sie die Identität der Abonnenten, sodass Benutzer auf Websites zugreifen können, ohne Kennwörter eingeben zu müssen. Verwenden Sie jedoch Kennwörter aus dem Geschäft.
• Wählen Sie die erforderlichen Konten aus, um bestimmte Sites einzugeben.
• Ermöglicht die Verwendung von Anmeldungen / Kennwörtern, die auf einem Gerät auf anderen Geräten eingegeben wurden.

Initiative für offene Authentifizierung (OATH)

Eine vollständige Liste der OAuth 2.0-basierten Protokolle

• OpenID Connect - zuvor ausführlich besprochen
• UMA 1.0 UMA-Profil (User-Managed Access) von OAuth 2.0
• UMA 2.0 User-Managed Access (UMA) 2.0-Gewährung für die OAuth 2.0-Autorisierung
• IndieAuth Link zum W3C Standard