OpenID Connect (OIDC) offre un excellent moyen de sécuriser l’accès aux données protégées.
A condition toutefois de bien en comprendre les limitations et les risques en fonction de la configuration des parties (applications, serveur, ressources, réseau ...). Une mauvaise application des principes d’OIDC permettra à un malware d’accéder à des informations protégées !
Il ne s’agirait pas d’un défaut de sécurité d’OIDC, mais d’un défaut de mise en œuvre d’OpenID Connect. En effet, toutes les configurations client-serveur ne présentent pas la même problématique de sécurité : le flux d’autorisation avec code (Authorization Code Grant), même s’il présente la meilleure sécurité, n’est pas une solution universelle à appliquer aveuglément.
Il faut bien comprendre que l’authentification ouvre la porte non seulement à un utilisateur, mais également à une application. Si l’utilisateur est bien authentifié, qu’en-est-il réellement de l’application ?
La question est : comment authentifier l’application qui s’adresse à une ressource protégée ?
Nous présentons ici une analyse et les solutions offertes par OAuthSD.
Une application à page unique (SPA) est une application Web qui charge une seule page HTML à partir du serveur Web, puis la met à jour de manière dynamique en réponse à l’interaction de l’utilisateur et à d’autres événements.
Tirant argument des progrès des navigateurs, permettant à Javascript (…)
Avertissement : à ce jour (début 2021), cette technique ne semble pas opérationnelle du fait de la complexité de son intégration dans les navigateurs. Faut-il l’abandonner ou attendre encore ?
Un jeton ne devrait fonctionner que pour le client auquel il a été émis, sinon nous nous retrouvons (…)
La transmission de jetons à des serveurs de ressource (RS) implique que ces derniers soient réceptifs à des jetons de toute provenance. Cela présente une opportunité pour un attaquant (une application étrangère) d’exploiter un jeton compromis ou volé.
Une fois de plus, l’analyse montre que (…)
La méthode Canvas Fingerprinting est une de celles qui permettraient de s’assurer que l’instance de l’application interrogeant depuis une page Web une ressource protégée est bien celle à partir de laquelle l’authentification OIDC a été effectuée.
Pour autant, cela ne permet pas d’identifier (…)
OAuthSD peut mettre en oeuvre le flux Authorization code + PKCE. La principale différence entre le flux Authorization code + PKCE et le flux standard est que le client ne fournit pas le secret de l’application, mais une clé de vérification.
En revanche, puisqu’il n’y a plus secret, il n’y a (…)
OpenID Connect OAuth Server dédié
Plus de sécurité et de confidentialité avec un serveur d’authentification indépendant