Derniers articles

• JWE (JSON Web Encryption)

  23 janvier 2020, par B. Degoy

  La spécification JWE (JSON Web Encryption) standardise la façon de représenter un contenu chiffré dans une structure de données basée sur JSON. C’est une spécification générale, qui s’applique au cryptage de la charge utile du JWT.
  OAuthSD permet aux applications clientes d’échanger des (…)

• OpenID Connect : Le jeton d’identité ID Token (JWT signé ou JWS)

  12 janvier 2020, par B. Degoy

  Dans le cadre d’OpenID Connect, le jeton d’identité ID_Token de type JWT signé (JWS), suit la définition générale du jeton JSON Web Token (JWT). Le jeton est signé, ce qui justifie l’acronyme JWS. Cependant, les déclarations de la charge utile définies pour OpenID Connect diffèrent sur certains (…)

• acr_values (Requested Authentication Context Class Reference)

  5 janvier 2020, par B. Degoy

  OAuthSD met en oeuvre acr_values et résoud un problème de sécurité lié à la définition de la méthode d’identification éventuellement imposée par un client.
  Traduction d’extraits de OpenID Connect Core 1.0. Dans la section ’2. ID Token’ : acr OPTIONNEL. Référence de classe de contexte (…)

• Canvas Fingerprinting

  16 décembre 2019, par B. Degoy

  La méthode Canvas Fingerprinting est une de celles qui permettraient de s’assurer que l’instance de l’application interrogeant depuis une page Web une ressource protégée est bien celle à partir de laquelle l’authentification OIDC a été effectuée.
  Pour autant, cela ne permet pas d’identifier (…)

• Clé de vérification pour l’échange de code (PKCE)

  14 décembre 2019, par B. Degoy

  OAuthSD peut mettre en oeuvre le flux Authorization code + PKCE. La principale différence entre le flux Authorization code + PKCE et le flux standard est que le client ne fournit pas le secret de l’application, mais une clé de vérification.
  En revanche, puisqu’il n’y a plus secret, il n’y a (…)