Padrões de identificação modernos: OAuth 2.0, OpenID Connect, WebAuthn

OAuth 2.0

• Resource Owner — , MySite .
• Client ( MySite) — , Authorization Server Resource Server .
• Authorization Server — / , .
• Resource Server — , API. Authorization Server Resource Server .

Authorization flow

• MySite :
• MySite Name ( ), Homepage ( MySite) Callback (, )
• A rede social fornece o Client ID (às vezes chamado AppID) e o Client Secret.
• O ID do desenvolvedor deve ser registrado no ID do cliente e no Segredo do cliente.

1. O Proprietário do Recurso efetua logon no Cliente (MySite), seleciona a opção “logon usando a Rede Social”; o site redireciona o usuário para a Rede Social no Servidor de Autorização.
2. O servidor de autorização verifica se o usuário tem uma sessão ativa e, se não, exibe o formulário de login.
3. O Proprietário do Recurso digita seu nome de usuário / senha e confirma que certos dados particulares podem ser usados ​​pelo MySite, como nome de usuário ou endereço de email.
4. O Authorization Server verifica o usuário e redireciona para o endereço de retorno de chamada com o resultado da autenticação e o "Código de autorização"
5. Client “Authorization Code”, Client ID Client Secret.
6. Authorization Server “access token” JWT (JSON Web Token), . JWT “refresh token”, c .
7. Client API, “access token”.
8. Resource Server “access token” (, Authorization Server) .

OAuth 2.0 (GitHub)

• Página inicial: MySite / home
• Retorno de chamada : MySite / retorno de chamada

• ID do cliente: ab8ec08a620c2
• Segredo do cliente: e6fdd52b0a99e8fbe76b05c1b7bb93c1e

https://github.com/login/oauth/authorize?client_id=ab8ec08a620c2

• o endereço é o ponto de login no github
• client_id é o ID do cliente emitido durante o registro

http://MySite/home?code=a29b348f63d21

https://github.com/login/oauth/access_token?client_id=ab8ec08a620c2&
client_secret=e6fdd52b0a99e8fbe76b05c1b7bb93c1e&
code=a29b348f63d21

• o endereço é o ponto de recebimento do token de acesso no GitHub
• client_id é o ID do cliente emitido durante o registro
• client_secret é um segredo do cliente emitido durante o registro
• código é o código que acabou de ser enviado

access_token=31b71cbd372acdbb20ec1644b824f3dd0&scope=&token_type=bearer

curl -H "Authorization: token 31b71cbd372acdbb20ec1644b824f3dd0" https://api.github.com/user

{
  "login": "AlexeySushkov",
  "html_url": "https://github.com/AlexeySushkov",
  "repos_url": "https://api.github.com/users/AlexeySushkov/repos",
  "name": "Alexey Sushkov",
  "blog": "http://sushkov.ru",
  "location": "St.Petersburg, Russia",
  "email": "alexey.p.sushkov@gmail.com",
 ..
}  

Conexão aberta

• C OAuth 2.0 .. access token, . access token MySite. OpenID Connect — (identity). .
• OpenID Connect “service discovery”. SSO (Single Sign-On), .

• O Authorization Server, além de acessar o token e atualizar o token, retorna um "token de identidade" (ID Token). Está contido no mesmo JWT. As seguintes informações podem ser extraídas do Token de ID: nome de usuário, hora do login, data de validade do Token de ID. Os IDs de token podem ser transferidos entre os participantes.
• OIDC fornece uma API adicional que permite solicitar informações sobre o usuário e suas sessões atuais.

• Na solicitação inicial de código, um atributo adicional, scope = openid, é adicionado.
• Como resultado do algoritmo, o Cliente, além de acessar e atualizar o token, recebe um ID de Token.

OpenID Connect: Laboratório (Google)

https://accounts.google.com/o/oauth2/v2/auth?
response_type=code&
client_id=140797064495-b8b79j42m97nkkrlndfstikv8.apps.googleusercontent.com&
scope=openid%20email&
redirect_uri=http%3A//c18529.shared.hc.ru/wp-login.php&
state=765439764

• endereço é o ponto de login no Google
• response_type = code - espera receber código em resposta
• client_id - ID do cliente emitido durante o registro
• scope = email aberto - quais dados queremos acessar
• redirect_uri - redirect_uri especificado durante o registro do aplicativo
• state - o número gerado pelo cliente, que é transmitido entre o cliente e o AS para proteger contra interferência do invasor.

http://MySite?state=123&code=4/xAFkcMzhyJhUErRJYwIyntSYN-WeJjfZHLiwWL4IaT-WkHzMU18xABlPmev-M_87wVbqTkQ1y93w6GB5&scope=email+openid+https://www.googleapis.com/auth/userinfo.email&authuser=0&prompt=none

curl -d "code=4/xAFkcMzhyJhUErRJYwIyntSYN-WeJjfZHLiwWL4IaT-WkHzMU18xABlPmev-M_87wVbqTkQ1y93w6GB5&client_id=140797064495-b8b79j42m97nkkrlndfstikv8.apps.googleusercontent.com&
client_secret=HMVctrTicW6RC1Q8T&
redirect_uri=http%3A//c18529.shared.hc.ru/wp-login.php&
grant_type=authorization_code" 
-H "Content-Type: application/x-www-form-urlencoded" -X POST https://oauth2.googleapis.com/token

• endereço é o ponto de recebimento de token no Google
• código é o código que acabou de ser enviado
• client_id é o ID do cliente emitido durante o registro
• client_secret é um segredo do cliente emitido durante o registro
• grant_type = permission_code - o único valor válido do padrão

{
  "access_token": "ya29.Il_AB0KeKnjBJx0dhjm2nCLt1B-Mq0aQBW5T302JnlZfsxW1AXqLFfDJZRMi2R2WKG4OX4msKLjx4E4CSl4G_4ajAy3aqrf4pM0ic0jJr092pA67H9aktJktCbx",
  "expires_in": 3327,
  "scope": "openid https://www.googleapis.com/auth/userinfo.email",
  "token_type": "Bearer",
  "id_token": "eyJhbGciOiJSUzI1NiIsImtpZCI6IjE3ZDU1ZmY0ZTEwOTkxZDZiMGVmZDM5MmI5MWEzM2U1
………………………………_…………………………………………………….._4mUTiMNSAHljap1hLD2hAzgOZWuQ"
}

curl -H "Authorization: Bearer ya29.a0Adw1xeWvFoxHKNICHnV6vFFj5TZdPQVlYD98h8wjW95ZEbHVui_pk7HGRoq3Q7MlVLV23xkVM0yyjSP8ClSlvfUy3b_IqvKQW5Lvwj38QzJhee-aH1grerB4pRpMzn_FGueigG_RGI56pKPgFBTr49cpynQy" https://www.googleapis.com/gmail/v1/users/alexey.p.sushkov@gmail.com/profile

{
 "emailAddress": "alexey.p.sushkov@gmail.com",
 "messagesTotal": 372543,
...
}

https://oauth2.googleapis.com/tokeninfo?id_token=eyJhbGciOiJSUzI1NiIsImtpZCI6IjE3ZDU1ZmY0ZTEwOTkxZDZiMGVmZDM5MmI5MWEzM2U1NGMwZTIxOGIiLCJ0eXAiOi
………………………_……………………………...
SVQ5GQni3irfOzOXYEiqijp6TjGa_a-3jKcEsU5TbasZmAIejsdVcNy2_4mUTiMNSAHljap1hLD2hAzgOZWuQ

{
  "iss": "https://accounts.google.com",
  "email": "alexey.p.sushkov@gmail.com",
  "email_verified": "true",
  "iat": "1583257010",
  "exp": "1583260610",
  "typ": "JWT"
...
}

Webauthn

• O padrão permite que os usuários se identifiquem em sites e aplicativos usando chaves de segurança externas (por exemplo, chaves USB) ou por impressão digital e, posteriormente, por outros dados biométricos: face, retina.
• — / «Public key cryptography». Public key cryptography — , . Private key ( ) , public key ( ) .
• W3C (World Wide Web Consortium) FIDO, Google, Mozilla, Microsoft, Yubico. W3C HTTP, HTML, XML . WebAuthn. WebAuthn : Chrome, Firefox, Edge, Safari.

• Geração de credenciais de chave pública (pares de chave pública / privada).
• O Authenticator armazena com segurança a chave privada em sua memória
• Passa a chave pública para sistemas externos
• Assina dados com uma chave privada e transfere o resultado para sistemas externos

Fluxo de autorização

• navigator.credentials.create - para criar credenciais de usuário
• navigator.credentials.get - verifica as credenciais do usuário

1. “WebAuthn”. , , WebAuthn, “ ” “ ”. Relying Party Challenge. Challenge — , Code OAuth 2.0.
2. Relying Party Challenge. , REST API.
3. Authenticator- CTAP (Client to Authenticator Protocols). navigator.credentials.get c :
   
   
   • Challenge
4. Authenticator , , .
5. , Authenticator .
6. O aplicativo envia os dados assinados para a terceira parte confiável.
7. A terceira parte confiável descriptografa os dados usando a chave pública, verifica o desafio e autoriza o usuário.

WebAuthn: Laboratório (Google)

Conclusão

• OAuth 2.0 - usado para registrar e fazer login de usuários em sites usando redes sociais. E também para obter dados do usuário nas redes sociais.
• OpenID Connect — . OpenID Connect SSO .
• WebAuthn — .

• , , .
• , , .
• Faz sentido autenticar usuários em plataformas na nuvem como o Facebook ou Google, como eles empregam os melhores especialistas em segurança que podem fornecer todas as nuances da segurança.
• Sugiro otimista sobre o futuro, porque Protocolo WebAuthn - uma chance real de se livrar da senha do dia a dia!

Apêndice: outros protocolos de autenticação

SAML 2.0 (Linguagem de marcação de asserção de segurança)

API de gerenciamento de credenciais

• Armazene a identidade dos assinantes, o que permite aos usuários acessar sites sem inserir senhas, mas use senhas da loja.
• Selecione as contas necessárias para entrar em determinados sites.
• Permite usar logins / senhas inseridas em um dispositivo em outros dispositivos.

Iniciativa para autenticação aberta (OATH)

Uma lista completa de protocolos baseados em OAuth 2.0

• OpenID Connect - revisado anteriormente em detalhes
• Perfil UMA do acesso gerenciado pelo usuário (UMA) UMA 1.0 do OAuth 2.0
• Concessão do UMA 2.0 do acesso gerenciado pelo usuário (UMA) 2.0 para autorização do OAuth 2.0
• Link IndieAuth para o padrão W3C