openid connect 101 @ openid technight vol.11

Copyright 2013 OpenID Foundation Japan - All Rights Reserved.

♥OpenID Connect 101


Nov Matake

OpenID Foundation Japan

Evangelist 初号機

翻訳WG Leader

OAuth.jp

Idcon

Rubyist

fb_graph, rack-oauth2, openid_connect etc.

池澤あやかと学ぼう！はじめてのOAuthとOpenID Connect


パスワード漏洩例


パスワードリストアタック被害例

…next ?


2段階認証

有効化する人1%以下 + 75%は2週間でやめる

リスクベース認証


セキュリティ専任スタッフが100人未満しかいないサービスにパスワードを預けるのは、自殺行為である。

Eric Sachs, Google


パスワード、ちゃんとハッシュ化してる?

まさかパスワード数字だけなんてことは…

定期的にメールアドレス生存確認してる?

あやしいユーザー行動、常に監視してる?

2段階認証提供すれば、後はユーザー責任?


御社はどうですか?


「○○ ID でログイン」http://klout.com

http://klout.com


v.s


♥OpenID Connect

OAuth 2.0 + Identity Layer


2011~

ID Provider 向け


Basic Client Implementation Guide +

Implicit Client Implementation Guide


Basic Client Implementer's Guide 1.0 は, OAuth 2.0 Code Flow を利用して Web ベースの Relying Party を実装する為の実装ガイド

Implicit Client Implementer's Guide 1.0 は, OAuth 2.0 Implicit Flowを利用してWebベースの Relying Party を実装する為の実装ガイド

翻訳済 → http://j.mp/openid-trans

http://j.mp/openid-trans


Basic Client


Implicit Client


Code Flow - OpenID ConnectRelying Party OpenID Provider

Initiate

Request Authorization

Authorization Code

Authorization Code

Access Token + ID Token

End User

Authenticate & Authorize



Initiate


Authorization Code

Authorization Code


End User

Authenticate & Authorizeclient_id=...& response_type=code& redirect_uri=https://...& scope=openid+email



Initiate


Authorization Code

Authorization Code


End User




Initiate


Authorization Code

Authorization Code


End User


code=...& client_id=...& client_secret=...& grant_type=authorization_code& redirect_uri=https://...


OpenID Connect =

OAuth 2.0 + Identity Layer


OpenID Connect Scopes

openid → OpenID Connect Request を明示

profile → 氏名, ニックネーム, プロフィール画像 etc.

email → メールアドレス, 検証済 Flag

address → 住所

phone → 電話番号, 検証済 Flag

offline_access → Refresh Token 取得用

ID Token


ID Token - 署名アルゴリズム

公開鍵暗号 (RSA-SHA256 etc)

OpenID Provider の公開鍵で署名検証

Native App に秘密鍵埋め込まなくても OK

共通鍵暗号 (HMAC-SHA256 etc)

公開鍵暗号が苦手なエンジニア多い?

でも Native App だと秘密鍵漏れちゃう…


ID Token - 認証イベントMetadata

誰が (issuer = OpenID Provider)

誰を (subject = End-User)

誰のために (audience = Relying Party)

いつ (Issued At)

認証したのか

検証方法は翻訳ドキュメントを


UserInfo API

Standardized JSON Format


OpenID Connect Discovery


Developerサイト読まなくても必要なエンドポイント情報等

すべて分かる


GET /.well-known/webfinger


GET /.well-known/openid-configuration


OpenID Connect Dynamic Client Registration


Developerサイトのフォームからアプリ (=Client) 登録しなくても

動的にClient登録できる


Static Client Registration


Dynamic Client Registration


openid-foundation-japan.github.io

slideshare.net/matake

github.com/nov

twitter.com/nov

openid connect 101 @ openid technight vol.11

Technology