Normes d'identification modernes: OAuth 2.0, OpenID Connect, WebAuthn

OAuth 2.0

• Resource Owner — , MySite .
• Client ( MySite) — , Authorization Server Resource Server .
• Authorization Server — / , .
• Resource Server — , API. Authorization Server Resource Server .

Authorization flow

• MySite :
• MySite Name ( ), Homepage ( MySite) Callback (, )
• Le réseau social donne l'ID client (parfois appelé AppID) et le secret client.
• L'ID développeur doit être enregistré dans l'ID client et le secret client.

1. Le propriétaire de la ressource se connecte au client (MySite), sélectionne l'option «se connecter en utilisant le réseau social», le site redirige l'utilisateur vers le réseau social sur le serveur d'autorisation.
2. Le serveur d'autorisation vérifie si l'utilisateur a une session active et, sinon, affiche le formulaire de connexion.
3. Le propriétaire de la ressource entre son nom d'utilisateur / mot de passe et confirme que certaines données privées peuvent être utilisées par MySite, comme le nom d'utilisateur ou l'adresse e-mail.
4. Le serveur d'autorisation vérifie l'utilisateur et redirige vers l'adresse de rappel avec le résultat de l'authentification et le «code d'autorisation»
5. Client “Authorization Code”, Client ID Client Secret.
6. Authorization Server “access token” JWT (JSON Web Token), . JWT “refresh token”, c .
7. Client API, “access token”.
8. Resource Server “access token” (, Authorization Server) .

OAuth 2.0 (GitHub)

• Page d'accueil: MySite / home
• Rappel: MySite / rappel

• ID client: ab8ec08a620c2
• Secret client: e6fdd52b0a99e8fbe76b05c1b7bb93c1e

https://github.com/login/oauth/authorize?client_id=ab8ec08a620c2

• l'adresse est le point de connexion sur github
• client_id est l'ID client émis lors de l'inscription

http://MySite/home?code=a29b348f63d21

https://github.com/login/oauth/access_token?client_id=ab8ec08a620c2&
client_secret=e6fdd52b0a99e8fbe76b05c1b7bb93c1e&
code=a29b348f63d21

• l'adresse est le point de réception du jeton d'accès sur GitHub
• client_id est l'ID client émis lors de l'inscription
• client_secret est un secret client émis lors de l'inscription
• le code est le code qui vient d'être envoyé

access_token=31b71cbd372acdbb20ec1644b824f3dd0&scope=&token_type=bearer

curl -H "Authorization: token 31b71cbd372acdbb20ec1644b824f3dd0" https://api.github.com/user

{
  "login": "AlexeySushkov",
  "html_url": "https://github.com/AlexeySushkov",
  "repos_url": "https://api.github.com/users/AlexeySushkov/repos",
  "name": "Alexey Sushkov",
  "blog": "http://sushkov.ru",
  "location": "St.Petersburg, Russia",
  "email": "alexey.p.sushkov@gmail.com",
 ..
}  

Openid connect

• C OAuth 2.0 .. access token, . access token MySite. OpenID Connect — (identity). .
• OpenID Connect “service discovery”. SSO (Single Sign-On), .

• Le serveur d'autorisation, en plus du jeton d'accès et du jeton d'actualisation, renvoie un «jeton d'identité» (jeton d'identification). Il est contenu dans le même JWT. Les informations suivantes peuvent être extraites du jeton ID: nom d'utilisateur, heure de connexion, date d'expiration du jeton ID. Les ID de jeton peuvent être transférés entre les participants.
• OIDC fournit une API supplémentaire qui vous permet de demander des informations sur l'utilisateur et ses sessions en cours.

• Dans la demande initiale de code, un attribut supplémentaire, scope = openid, est ajouté.
• À la suite de l'algorithme, le client, en plus d'accéder et d'actualiser le jeton, reçoit un ID de jeton.

OpenID Connect: Lab (Google)

https://accounts.google.com/o/oauth2/v2/auth?
response_type=code&
client_id=140797064495-b8b79j42m97nkkrlndfstikv8.apps.googleusercontent.com&
scope=openid%20email&
redirect_uri=http%3A//c18529.shared.hc.ru/wp-login.php&
state=765439764

• l'adresse est le point de connexion sur Google
• response_type = code - attendez-vous à recevoir du code en réponse
• client_id - ID client émis lors de l'inscription
• scope = openid email - à quelles données voulons-nous accéder
• redirect_uri - redirect_uri spécifié lors de l'enregistrement de l'application
• état - le numéro généré par le client, qui est transmis entre le client et AS pour se protéger contre les interférences intrusives.

http://MySite?state=123&code=4/xAFkcMzhyJhUErRJYwIyntSYN-WeJjfZHLiwWL4IaT-WkHzMU18xABlPmev-M_87wVbqTkQ1y93w6GB5&scope=email+openid+https://www.googleapis.com/auth/userinfo.email&authuser=0&prompt=none

curl -d "code=4/xAFkcMzhyJhUErRJYwIyntSYN-WeJjfZHLiwWL4IaT-WkHzMU18xABlPmev-M_87wVbqTkQ1y93w6GB5&client_id=140797064495-b8b79j42m97nkkrlndfstikv8.apps.googleusercontent.com&
client_secret=HMVctrTicW6RC1Q8T&
redirect_uri=http%3A//c18529.shared.hc.ru/wp-login.php&
grant_type=authorization_code" 
-H "Content-Type: application/x-www-form-urlencoded" -X POST https://oauth2.googleapis.com/token

• l'adresse est le point de réception des jetons sur Google
• le code est le code qui vient d'être envoyé
• client_id est l'ID client émis lors de l'inscription
• client_secret est un secret client émis lors de l'inscription
• grant_type = autorisation_code - la seule valeur valide de la norme

{
  "access_token": "ya29.Il_AB0KeKnjBJx0dhjm2nCLt1B-Mq0aQBW5T302JnlZfsxW1AXqLFfDJZRMi2R2WKG4OX4msKLjx4E4CSl4G_4ajAy3aqrf4pM0ic0jJr092pA67H9aktJktCbx",
  "expires_in": 3327,
  "scope": "openid https://www.googleapis.com/auth/userinfo.email",
  "token_type": "Bearer",
  "id_token": "eyJhbGciOiJSUzI1NiIsImtpZCI6IjE3ZDU1ZmY0ZTEwOTkxZDZiMGVmZDM5MmI5MWEzM2U1
………………………………_…………………………………………………….._4mUTiMNSAHljap1hLD2hAzgOZWuQ"
}

curl -H "Authorization: Bearer ya29.a0Adw1xeWvFoxHKNICHnV6vFFj5TZdPQVlYD98h8wjW95ZEbHVui_pk7HGRoq3Q7MlVLV23xkVM0yyjSP8ClSlvfUy3b_IqvKQW5Lvwj38QzJhee-aH1grerB4pRpMzn_FGueigG_RGI56pKPgFBTr49cpynQy" https://www.googleapis.com/gmail/v1/users/alexey.p.sushkov@gmail.com/profile

{
 "emailAddress": "alexey.p.sushkov@gmail.com",
 "messagesTotal": 372543,
...
}

https://oauth2.googleapis.com/tokeninfo?id_token=eyJhbGciOiJSUzI1NiIsImtpZCI6IjE3ZDU1ZmY0ZTEwOTkxZDZiMGVmZDM5MmI5MWEzM2U1NGMwZTIxOGIiLCJ0eXAiOi
………………………_……………………………...
SVQ5GQni3irfOzOXYEiqijp6TjGa_a-3jKcEsU5TbasZmAIejsdVcNy2_4mUTiMNSAHljap1hLD2hAzgOZWuQ

{
  "iss": "https://accounts.google.com",
  "email": "alexey.p.sushkov@gmail.com",
  "email_verified": "true",
  "iat": "1583257010",
  "exp": "1583260610",
  "typ": "JWT"
...
}

Webauthn

• La norme permet aux utilisateurs de s'identifier sur des sites Web et dans des applications à l'aide de clés de sécurité externes (par exemple, des clés USB) ou par empreinte digitale et, par la suite, par d'autres données biométriques: visage, rétine.
• — / «Public key cryptography». Public key cryptography — , . Private key ( ) , public key ( ) .
• W3C (World Wide Web Consortium) FIDO, Google, Mozilla, Microsoft, Yubico. W3C HTTP, HTML, XML . WebAuthn. WebAuthn : Chrome, Firefox, Edge, Safari.

• Génération d'informations d'identification de clé publique (paires de clés publiques / privées).
• Authenticator stocke en toute sécurité la clé privée dans sa mémoire
• Passe la clé publique aux systèmes externes
• Signe les données avec une clé privée et transfère le résultat vers des systèmes externes

Flux d'autorisation

• navigator.credentials.create - pour créer des informations d'identification utilisateur
• navigator.credentials.get - vérifie les informations d'identification de l'utilisateur

1. “WebAuthn”. , , WebAuthn, “ ” “ ”. Relying Party Challenge. Challenge — , Code OAuth 2.0.
2. Relying Party Challenge. , REST API.
3. Authenticator- CTAP (Client to Authenticator Protocols). navigator.credentials.get c :
   
   
   • Challenge
4. Authenticator , , .
5. , Authenticator .
6. L'application envoie les données signées à la partie utilisatrice.
7. La partie utilisatrice décrypte les données à l'aide de la clé publique, vérifie le défi et autorise l'utilisateur.

WebAuthn: Lab (Google)

Conclusion

• OAuth 2.0 - utilisé pour enregistrer et connecter les utilisateurs aux sites utilisant les réseaux sociaux. Et aussi pour obtenir les données des utilisateurs des réseaux sociaux.
• OpenID Connect — . OpenID Connect SSO .
• WebAuthn — .

• , , .
• , , .
• Il est logique d'authentifier les utilisateurs sur des plateformes cloud telles que Facebook ou Google, comme ils emploient les meilleurs experts en sécurité qui peuvent fournir toutes les nuances de sécurité.
• Je suggère optimiste pour l'avenir, car Protocole WebAuthn - une vraie chance de se débarrasser de l'enfer des mots de passe de notre temps!

Annexe: autres protocoles d'authentification

SAML 2.0 (langage de balisage d'assertion de sécurité)

API de gestion des informations d'identification

• Stockez l'identité des abonnés, ce qui permet aux utilisateurs d'accéder aux sites sans entrer de mots de passe, mais d'utiliser les mots de passe du magasin.
• Sélectionnez les comptes nécessaires pour accéder à certains sites.
• Vous permet d'utiliser des identifiants / mots de passe entrés sur un appareil sur d'autres appareils.

Initiative pour l'authentification ouverte (OATH)

Une liste complète des protocoles basés sur OAuth 2.0

• OpenID Connect - précédemment examiné en détail
• Profil UMA 1.0 User-Managed Access (UMA) d'OAuth 2.0
• UMA 2.0 User-Managed Access (UMA) 2.0 Grant for OAuth 2.0 Authorization
• Lien IndieAuth vers la norme W3C