Estándares de identificación modernos: OAuth 2.0, OpenID Connect, WebAuthn

OAuth 2.0

• Resource Owner — , MySite .
• Client ( MySite) — , Authorization Server Resource Server .
• Authorization Server — / , .
• Resource Server — , API. Authorization Server Resource Server .

Authorization flow

• MySite :
• MySite Name ( ), Homepage ( MySite) Callback (, )
• La red social proporciona la identificación del cliente (a veces llamada AppID) y el secreto del cliente.
• La ID del desarrollador debe estar registrada en la ID del cliente y el secreto del cliente.

1. El propietario del recurso inicia sesión en el Cliente (MySite), selecciona la opción "iniciar sesión con la red social", el sitio redirige al usuario a la red social en el servidor de autorización.
2. El servidor de autorización comprueba si el usuario tiene una sesión activa y, si no, muestra el formulario de inicio de sesión.
3. El propietario del recurso ingresa su nombre de usuario / contraseña y confirma que MySite puede usar ciertos datos privados, como el nombre de usuario o la dirección de correo electrónico.
4. El servidor de autorización verifica al usuario y lo redirige a la dirección de devolución de llamada con el resultado de la autenticación y el "Código de autorización"
5. Client “Authorization Code”, Client ID Client Secret.
6. Authorization Server “access token” JWT (JSON Web Token), . JWT “refresh token”, c .
7. Client API, “access token”.
8. Resource Server “access token” (, Authorization Server) .

OAuth 2.0 (GitHub)

• Página de inicio: MySite / home
• Devolución de llamada: MySite / devolución de llamada

• ID de cliente: ab8ec08a620c2
• Secreto del cliente: e6fdd52b0a99e8fbe76b05c1b7bb93c1e

https://github.com/login/oauth/authorize?client_id=ab8ec08a620c2

• la dirección es el punto de inicio de sesión en github
• client_id es el ID de cliente emitido durante el registro

http://MySite/home?code=a29b348f63d21

https://github.com/login/oauth/access_token?client_id=ab8ec08a620c2&
client_secret=e6fdd52b0a99e8fbe76b05c1b7bb93c1e&
code=a29b348f63d21

• la dirección es el punto de recepción del token de acceso en GitHub
• client_id es el ID de cliente emitido durante el registro
• client_secret es un secreto de cliente emitido durante el registro
• código es el código que acaba de enviar

access_token=31b71cbd372acdbb20ec1644b824f3dd0&scope=&token_type=bearer

curl -H "Authorization: token 31b71cbd372acdbb20ec1644b824f3dd0" https://api.github.com/user

{
  "login": "AlexeySushkov",
  "html_url": "https://github.com/AlexeySushkov",
  "repos_url": "https://api.github.com/users/AlexeySushkov/repos",
  "name": "Alexey Sushkov",
  "blog": "http://sushkov.ru",
  "location": "St.Petersburg, Russia",
  "email": "alexey.p.sushkov@gmail.com",
 ..
}  

Openid connect

• C OAuth 2.0 .. access token, . access token MySite. OpenID Connect — (identity). .
• OpenID Connect “service discovery”. SSO (Single Sign-On), .

• El servidor de autorización, además del token de acceso y el token de actualización, devuelve un "token de identidad" (token de identificación). Está contenido en el mismo JWT. La siguiente información se puede extraer del ID Token: nombre de usuario, hora de inicio de sesión, fecha de vencimiento del ID Token. Las ID de token se pueden transferir entre los participantes.
• OIDC proporciona una API adicional que le permite solicitar información sobre el usuario y sus sesiones actuales.

• En la solicitud inicial de código, se agrega un atributo adicional, scope = openid.
• Como resultado del algoritmo, el Cliente, además de acceder y actualizar el token, recibe una ID de token.

OpenID Connect: Lab (Google)

https://accounts.google.com/o/oauth2/v2/auth?
response_type=code&
client_id=140797064495-b8b79j42m97nkkrlndfstikv8.apps.googleusercontent.com&
scope=openid%20email&
redirect_uri=http%3A//c18529.shared.hc.ru/wp-login.php&
state=765439764

• dirección es el punto de inicio de sesión en Google
• response_type = code - espera recibir código en respuesta
• client_id: ID de cliente emitida durante el registro
• alcance = correo electrónico openid - a qué datos queremos acceder
• redirect_uri - redirect_uri especificado durante el registro de la aplicación
• estado: el número generado por el Cliente, que se transmite entre el Cliente y AS para proteger contra la interferencia de intrusos.

http://MySite?state=123&code=4/xAFkcMzhyJhUErRJYwIyntSYN-WeJjfZHLiwWL4IaT-WkHzMU18xABlPmev-M_87wVbqTkQ1y93w6GB5&scope=email+openid+https://www.googleapis.com/auth/userinfo.email&authuser=0&prompt=none

curl -d "code=4/xAFkcMzhyJhUErRJYwIyntSYN-WeJjfZHLiwWL4IaT-WkHzMU18xABlPmev-M_87wVbqTkQ1y93w6GB5&client_id=140797064495-b8b79j42m97nkkrlndfstikv8.apps.googleusercontent.com&
client_secret=HMVctrTicW6RC1Q8T&
redirect_uri=http%3A//c18529.shared.hc.ru/wp-login.php&
grant_type=authorization_code" 
-H "Content-Type: application/x-www-form-urlencoded" -X POST https://oauth2.googleapis.com/token

• la dirección es el punto de recepción del token en Google
• código es el código que acaba de enviar
• client_id es el ID de cliente emitido durante el registro
• client_secret es un secreto de cliente emitido durante el registro
• grant_type = autorización_código: el único valor válido del estándar

{
  "access_token": "ya29.Il_AB0KeKnjBJx0dhjm2nCLt1B-Mq0aQBW5T302JnlZfsxW1AXqLFfDJZRMi2R2WKG4OX4msKLjx4E4CSl4G_4ajAy3aqrf4pM0ic0jJr092pA67H9aktJktCbx",
  "expires_in": 3327,
  "scope": "openid https://www.googleapis.com/auth/userinfo.email",
  "token_type": "Bearer",
  "id_token": "eyJhbGciOiJSUzI1NiIsImtpZCI6IjE3ZDU1ZmY0ZTEwOTkxZDZiMGVmZDM5MmI5MWEzM2U1
………………………………_…………………………………………………….._4mUTiMNSAHljap1hLD2hAzgOZWuQ"
}

curl -H "Authorization: Bearer ya29.a0Adw1xeWvFoxHKNICHnV6vFFj5TZdPQVlYD98h8wjW95ZEbHVui_pk7HGRoq3Q7MlVLV23xkVM0yyjSP8ClSlvfUy3b_IqvKQW5Lvwj38QzJhee-aH1grerB4pRpMzn_FGueigG_RGI56pKPgFBTr49cpynQy" https://www.googleapis.com/gmail/v1/users/alexey.p.sushkov@gmail.com/profile

{
 "emailAddress": "alexey.p.sushkov@gmail.com",
 "messagesTotal": 372543,
...
}

https://oauth2.googleapis.com/tokeninfo?id_token=eyJhbGciOiJSUzI1NiIsImtpZCI6IjE3ZDU1ZmY0ZTEwOTkxZDZiMGVmZDM5MmI5MWEzM2U1NGMwZTIxOGIiLCJ0eXAiOi
………………………_……………………………...
SVQ5GQni3irfOzOXYEiqijp6TjGa_a-3jKcEsU5TbasZmAIejsdVcNy2_4mUTiMNSAHljap1hLD2hAzgOZWuQ

{
  "iss": "https://accounts.google.com",
  "email": "alexey.p.sushkov@gmail.com",
  "email_verified": "true",
  "iat": "1583257010",
  "exp": "1583260610",
  "typ": "JWT"
...
}

Webauthn

• El estándar permite a los usuarios identificarse en sitios web y en aplicaciones que utilizan claves de seguridad externas (por ejemplo, claves USB) o por huella digital y, posteriormente, por otros datos biométricos: cara, retina.
• — / «Public key cryptography». Public key cryptography — , . Private key ( ) , public key ( ) .
• W3C (World Wide Web Consortium) FIDO, Google, Mozilla, Microsoft, Yubico. W3C HTTP, HTML, XML . WebAuthn. WebAuthn : Chrome, Firefox, Edge, Safari.

• Generación de credenciales de clave pública (pares de clave pública / privada).
• Authenticator almacena de forma segura la clave privada en su memoria
• Pasa la clave pública a sistemas externos
• Firma los datos con una clave privada y transfiere el resultado a sistemas externos

Flujo de autorización

• navigator.credentials.create - para crear credenciales de usuario
• navigator.credentials.get: verifica las credenciales del usuario

1. “WebAuthn”. , , WebAuthn, “ ” “ ”. Relying Party Challenge. Challenge — , Code OAuth 2.0.
2. Relying Party Challenge. , REST API.
3. Authenticator- CTAP (Client to Authenticator Protocols). navigator.credentials.get c :
   
   
   • Challenge
4. Authenticator , , .
5. , Authenticator .
6. La aplicación envía los datos firmados a la Parte que confía.
7. Relying Party descifra los datos utilizando la clave pública, comprueba el desafío y autoriza al usuario.

WebAuthn: Lab (Google)

Conclusión

• OAuth 2.0: se utiliza para registrar e iniciar sesión a los usuarios en sitios que utilizan redes sociales. Y también para obtener datos de los usuarios de las redes sociales.
• OpenID Connect — . OpenID Connect SSO .
• WebAuthn — .

• , , .
• , , .
• Tiene sentido autenticar a los usuarios en plataformas en la nube como Facebook o Google, ya que Emplean a los mejores expertos en seguridad que pueden proporcionar todos los matices de seguridad.
• Sugiero optimista sobre el futuro, porque Protocolo WebAuthn: ¡una oportunidad real de deshacerse de la contraseña del infierno de nuestro tiempo!

Apéndice: otros protocolos de autenticación

SAML 2.0 (lenguaje de marcado de aserción de seguridad)

API de gestión de credenciales

• Almacene la identidad de los suscriptores, lo que permite a los usuarios acceder a sitios sin ingresar contraseñas, pero usar contraseñas de la tienda.
• Seleccione las cuentas necesarias para ingresar a ciertos sitios.
• Le permite utilizar inicios de sesión / contraseñas ingresados ​​en un dispositivo en otros dispositivos.

Iniciativa para la autenticación abierta (OATH)

Una lista completa de protocolos basados ​​en OAuth 2.0

• OpenID Connect - previamente revisado en detalle
• Perfil de acceso administrado por el usuario (UMA) UMA 1.0 de OAuth 2.0
• Concesión de acceso administrado por el usuario UMA 2.0 (UMA) 2.0 para la autorización OAuth 2.0
• Enlace IndieAuth al estándar W3C