Derniers articles

• Vérification de l’origine de la requête reçue par un serveur de ressource

  23 janvier 2020, par B. Degoy

  La transmission de jetons à des serveurs de ressource (RS) implique que ces derniers soient réceptifs à des jetons de toute provenance. Cela présente une opportunité pour un attaquant (une application étrangère) d’exploiter un jeton compromis ou volé.
  Une fois de plus, l’analyse montre que (…)

• JWE (JSON Web Encryption)

  23 janvier 2020, par B. Degoy

  La spécification JWE (JSON Web Encryption) standardise la façon de représenter un contenu chiffré dans une structure de données basée sur JSON. C’est une spécification générale, qui s’applique au cryptage de la charge utile du JWT.
  OAuthSD permet aux applications clientes d’échanger des (…)

• OpenID Connect : Le jeton d’identité ID Token (JWT signé ou JWS)

  12 janvier 2020, par B. Degoy

  Dans le cadre d’OpenID Connect, le jeton d’identité ID_Token de type JWT signé (JWS), suit la définition générale du jeton JSON Web Token (JWT). Le jeton est signé, ce qui justifie l’acronyme JWS. Cependant, les déclarations de la charge utile définies pour OpenID Connect diffèrent sur certains (…)

• acr_values (Requested Authentication Context Class Reference)

  5 janvier 2020, par B. Degoy

  OAuthSD met en oeuvre acr_values et résoud un problème de sécurité lié à la définition de la méthode d’identification éventuellement imposée par un client.
  Traduction d’extraits de OpenID Connect Core 1.0. Dans la section ’2. ID Token’ : acr OPTIONNEL. Référence de classe de contexte (…)

• Canvas Fingerprinting

  16 décembre 2019, par B. Degoy

  La méthode Canvas Fingerprinting est une de celles qui permettraient de s’assurer que l’instance de l’application interrogeant depuis une page Web une ressource protégée est bien celle à partir de laquelle l’authentification OIDC a été effectuée.
  Pour autant, cela ne permet pas d’identifier (…)