Découvrir

i-Tego chat bot

i-Tego propose aux entreprises un chat bot dont la base documentaire inclut leurs données propres.
Le prototype est visible ici : https://chat.i-tego.com
Attention ! produit en évolution constante, peut être indisponible.

Voici l’exemple d’un chat exploitant la documentation d’i-Tego :

Q:le flux d’autorisation est-il aussi bon pour les applications natives/mobiles que pour les applications Web ? Listez vos sources.

R : Le flux d’autorisation est généralement considéré comme plus adapté pour les applications Web que pour les applications natives ou mobiles. En effet, les applications Web sont plus faciles à sécuriser car elles fonctionnent dans un environnement contrôlé et dépendent d’une connexion permanente au serveur, ce qui facilite l’utilisation du flux "Authorization Code" pour protéger les données.

En revanche, les applications natives ou mobiles peuvent rencontrer des difficultés avec le flux d’autorisation, notamment en ce qui concerne l’authentification de l’application elle-même. Les méthodes de sécurité telles que le "Proof Key for Code Exchange" ou le "Proof of Possession" peuvent renforcer la sécurité des jetons émis, mais ne permettent pas toujours d’authentifier pleinement une application sans back-end.

Il est donc recommandé d’utiliser le flux de code d’autorisation pour les applications natives ou mobiles, mais il est important de prendre en compte les spécificités de ces types d’applications en matière de sécurité.

Sources :

Document "Authentifier l’application - OpenID Connect OAuth Server dédié" (pages 8, 9, 14, 15)"

Il est important de noter que la question à une réponse libellée en français est fondée sur des documents différents que celle répondant à une question libellée en anglais. En effet, la base documentaire fournie par i-Tego au chatbot est principalement en langue française. Dans le choix des sources, la priorité est donnée à la langue de la question.

Les documents sont distribués sur trois niveaux :

 Le site i-Tego.com présente rapidement les concepts généraux et fournit des entrées vers les points essentiels de la documentation.
 i-Tego SAS : la documentation offre un premier niveau de détail déjà très suffisant pour une bonne connaissance d’OpenID Connect et des opportunités de travail avec l’équipe i-Tego. De nombreux liens en font un guide pour aborder le niveau de détail suivant.

.
 le présent site OpenID Connect OAuth Serveur Dédié s’adresse aux développeurs. Avec quelques centaines de pages (dont du code), le site leur permettra d’acquérir une connaissance approfondie d’OpenID Connect et du serveur OAuthSD développé par DnC.

En savoir plus sur l’accompagnement proposé par i-Tego : authentification des utilisateurs et des applications avec OpenID Connect.

On voit souvent en OpenID Connect un simple système de connexion unique (Single Sign On, SSO), mais c’est passer à côté de toute la puissance du procédé : le jeton d’identité JWT regroupe, de façon indissociable et infalsifiable, l’identité de l’utilisateur final, celle de l’application cliente et les portées d’autorisation ; voyez : Définition des scopes OIDC et généralités sur leur utilisation par les applications.

Dès l’origine, OAuth et OpenID Connect ont été pensés pour protéger les données sensibles appartenant à l’utilisateur final, à qui on demande l’autorisation d’y accéder. Le vocabulaire utilisé et les exemples donnés dans les spécifications sont fortement orientés par cette vision.

Cependant, avec un peu de recul, on voit que l’on est en présence d’un ensemble de techniques qui permettent de faire aussi l’inverse : s’assurer que l’utilisateur final est bien celui qu’il prétend être et autoriser son accès à des ressources protégées ou des applications qui contiennent des données sensibles, lui appartenant ou non. Et aussi : transmettre des paramètres, tels que des portées d’autorisation.

L’authentification, lie en un objet infalsifiable et transmissible appelé Jeton d’Identité ( ID Token ) : l’utilisateur et ses données personnelles, l’application et les droits de l’utilisateur sur l’application ( ou vice-et-versa ).

Vous voulez entrer rapidement dans le vif du sujet ? Lisez ces articles : OpenID Connect : Lier une application cliente au serveur OAuthSD et Exemples complets du flux d’Autorisation.

Pour revenir à SSO (Single Sign ON), OAuthSD vous offre le meilleur : pour assurer non seulement l’inscription unique, mais encore la connexion unique (Single Login Identification, SLI) sur de multiples applications, la ré-authentification silencieuse (Silent Re-Authentication, SRA) et la déconnexion unique (Single Login Out, SLO). Voyez : SLI, SSO, SLO et SRA sont dans un bateau : OAuthSD. Alors que la plupart des implémentations exigent des développements du côté des applications clientes, OAUthSD vous offre ces fonctionnalités sans aucune modification de celles-ci. Tout ceci mis bout à bout permet d’assurer la visualisation et le management de la session OpenID Connect côté client. Actuellement, nous nous attachons à renforcer la sécurité de l’identification avec la Validation en 2 étapes (Two Factor Authentication, 2FA) .

OAuthSD s’appuie sur la librairie OAuth 2.0 Server PHP développée par Brent Shaffer. Un travail notable de DnC a consisté à encapsuler les points d’entrée de cette API dans une couche de sécurité, avec des fonctionnalités supplémentaires. Le développement respecte les spécifications, voyez : OAuthSD vers la Certification OpenID ®.

Qui a besoin d’un serveur d’authentification ?

OAuth Serveur by DnC est construit sur l’architecture OAuth 2.0. Voici un exemple d’application donné page 5 de la spécification RFC 6749 :

Par exemple, une utilisatrice finale (Propriétaire de la ressource) peut accorder à un service d’impression (Client) l’accès à ses photos protégées stockées dans un service de partage de photos (serveur de ressource), sans partager son nom d’utilisateur et son mot de passe avec le service d’impression. Au lieu de cela, elle s’authentifie directement auprès d’un serveur approuvé par le service de partage de photos (Serveur d’autorisation), qui émet les accréditations (jeton d’accès) spécifiques de la délégation du service d’impression.

De quoi s’agit-il exactement ?

Voici la traduction du résumé donné en tête de la Spécification OAuth 2.0 (RFC 6749) :

L’architecture d’autorisation OAuth 2.0 permet à une application tierce d’obtenir un accès limité à un service HTTP, soit au nom d’un propriétaire de ressource en orchestrant une interaction d’approbation entre le propriétaire de la ressource et le service HTTP, soit en autorisant l’application tierce à obtenir l’accès en son propre nom.

Analysons ce texte :

"architecture" : parce-que OAuth 2.0 fournit des fonctionnalités d’un haut niveau d’abstraction, différents protocoles l’incorporeront pour répondre à un cas de figure particulier. C’est le cas de OpenID Connect, qui étend OAuth pour fournir un protocole d’authentification, permettant aux serveur de ressources d’agir selon l’identité de l’utilisateur final et celle de l’application. C’est également le cas d’ OAuth Server by DnC (OAuthSD) qui offre un protocole de vérification des jetons ainsi qu’un service de session inter-applications.

"application tierce" : cela sous-entend que OAuth définit trois composants : l’application cliente qui accède à un serveur de ressource par l’intermédiaire d’un serveur d’autorisation, ce dernier étant physiquement distinct des deux autres composants. Notons que l’on devrait parler d’"applications tierces" car OAuth est très efficace pour contrôler les accès aux données d’un client avec différents serveurs de ressources, ce qui fait qu’OAuth est un outil indispensable pour sécuriser les échanges de données d’applications réparties dans le Cloud.

"accès limité" : c’est une allusion au mécanisme des scopes permettant de préciser, en fonction des applications et de l’utilisateur, l’étendue des données accessibles et les actions autorisées sur ces données.

"un service HTTP" : Cette spécification est conçue pour être utilisée avec HTTP (RFC2616). L’utilisation d’OAuth sur tout protocole autre que HTTP est hors du sujet. Cela en fait un système particulièrement aisé à mettre en œuvre dans le cadre d’une application Web faisant appel à des ressources HTTP REST, des web-services par exemple.

"un propriétaire de ressource" : Il est facile de se représenter ce qu’est un propriétaire de ressource dans le cas le plus courant : un utilisateur se connecte à une application qui a besoin d’accéder à des données sensibles le concernant (son identité, sa position etc.).

"soit en autorisant l’application tierce à obtenir l’accès en son propre nom" : cela démontre que OAuth n’est pas limité à offrir aux utilisateurs finaux le moyen de contrôler l’accès à leur données personnelles. OAuth a de nombreuses applications pour le contrôle des échanges entre applications et serveurs de données, ce qui prend toute sa signification dans le cas d’applications et de données réparties dans le Cloud.

Cette dernière observation est capitale pour saisir toute l’étendue des applications possibles. Dès l’origine, OAuth et OpenID Connect ont été pensés pour protéger les données sensibles appartenant à l’utilisateur final, à qui on demande l’autorisation d’y accéder. Le vocabulaire utilisé et les exemples donnés dans les spécifications sont fortement orientés par cette vision.

Cependant, avec un peu de recul, on voit que l’on est en présence d’un ensemble de techniques qui permettent de faire aussi l’inverse : s’assurer, du point de vue de la ressource, que l’utilisateur final est bien celui qu’il prétend être et autoriser son accès à des ressources protégées ou des applications qui contiennent des données sensibles, lui appartenant ou non.

OAuth 2.0 est-il un système d’authentification ?

Dans un contexte de réseau, l’authentification est le fait de prouver une identité à une application ou une ressource réseau. L’authentification suppose que l’application ou la ressource protégée, qui reçoit une demande de délivrer les informations à l’application cliente (ou d’effectuer une action, un traitement...), puisse identifier l’utilisateur final ou l’objet qui bénéficie de l’autorisation. De plus, il faut que les informations d’identification transmises soient suffisamment détaillées pour permettre à l’application dévaluer l’opportunité d’autoriser l’accès (ou l’action, le traitement etc.). Le jeton d’identité fourni par OpenID Connect offre cette possibilité, le jeton d’accès fourni par OAuth 2.0 est obscur et ne le permet donc pas.
OAuth 2.0 fournit la base sur laquelle est développée l’authentification OpenID Connect [1].

OpenID Connect

OpenID Connect est une couche d’authentification construite sur OAuth 2.0. Le serveur d’autorisation/authentification (ou OP "OpenID Provider" dans ce cas) contient des informations sur une personne. OpenID Connect est utilisé pour protéger ces informations, permettant à une application tierce (client) d’y accéder au nom de la personne. Pour autoriser la diffusion d’informations, la personne est authentifiée et le Fournisseur OpenID fournit au client des détails notamment sur l’identité de la personne et le moment de l’authentification.

En quoi OpenID Connect améliore la sécurité des applications ?

OpenID Connect protège les identifiants de connexion
OpenID Connect protège efficacement les identifiants d’accès (login, mot de passe etc.). Cela constitue un énorme avantage de sécurité en assurant que ces données ne seront jamais compromises et détournées pour accéder à des données protégées.
En effet, les applications délèguent le processus au serveur d’authentification (OP). Dans cette phase, les échanges se produisent directement entre le navigateur [2] et l’OP. Il en résulte les avantages suivants :
 Les informations de l’utilisateur sont sanctuarisées sur le serveur d’authentification à laquelle il se connecte, et en particulier des opérateurs de tracking ; ainsi, un malware se substituant à l’application légitime ne peut intercepter les identifiants.
 La navigation dans une application fondée sur plusieurs composants répartis sur l’Internet et l’échange de données entre ces composants sont sécurisés par un processus d’autorisation unique.

OpenID Connect protège les données sensibles des utilisateurs
Au moment de la demande de connexion à une application cliente, OpenID Connect fournit à l’utilisateur des informations sur l’auteur de l’application et sur les données personnelles auxquelles l’application souhaite accéder. Ainsi, l’utilisateur accède à l’application (ou non) en pleine connaissance de cause. OpenID Connect inverse donc le paradigme de la connexion : au lieu de demander à l’internaute (l’utilisateur final) un login et un mot de passe sans aucune justification ni garantie sur les traitements qui vont suivre, OpenID Connect présente une demande d’autorisation justifiée par des informations pertinentes sur l’application et sur ce qu’il adviendra des données personnelles de l’internaute.

OpenID Connect protège les ressources de données sensibles
S’agissant de l’accès aux serveurs de ressources protégées (par exemple un web service), OpenID Connect fournit un jeton d’identité dans lequel l’identité de l’application cliente, celle de l’utilisateur et les autorisation d’accès sont liées par une signature cryptographique qui pourra être validée par le serveur de ressource destinataire.

Comme évoqué précédemment, OpenID Connect permet d’inverser le paradigme : permettre aux ressources de données sensibles de fournir (ou non) des données en fonction de l’identité de l’application et de l’utilisateur qui en font la demande.

Avertissement : Il est important de noter que OpenID Connect, comme toute autre système d’authentification, n’assure pas la sécurité des applications ou des services de données, mais leur fournit des informations plus complètes et plus fiables sur l’utilisateur final que des méthodes d’identification plus simples. D’une part la sécurité dépendra de ce que les applications et services font de ces informations, d’autre part de leur sécurité intrinsèque ainsi que de celle du réseau.

 
Un travail important reste à faire du côté des applications.

OAuth 2.0 ne définit pas comment un serveur de ressources protégées doit vérifier la validité du jeton d’accès ni comment interpréter l’étendue des autorisations (scopes). De plus, ni OAuth 2.0, ni OpenID Connect ne définissent comment doit être exploitée la fonction d’authentification du côté du serveur de ressources.

Pour se convaincre de la réalité du problème, écoutons Eran Hammer, un des spécialistes d’OIDC :

"Le fait que ce soit hors du champ de la spécification découle du large éventail de moyens permettant d’établir cette connexion entre les deux entités. La question principale est la complexité de votre déploiement".

Il y a là des fonctions de sécurité entièrement à la charge des serveurs de ressources protégées. Un serveur d’authentification fournit des informations pour l’authentification de l’utilisateur et de l’application, la sécurité obtenue dépendra en définitive de ce que le serveur de ressources protégées en fait, ou n’en fait pas !

C’est la raison pour laquelle OAuthSD offre un point d’entrée Introspection ainsi que les informations sur les clés publiques, deux méthodes qui permettront aux applications de vérifier les jetons qui leurs sont transmis.
OAuthSD offre également un point d’entrée Resource qui, intégré aux applications clientes, permettra d’effectuer cette vérification en quelques lignes de code. Un must pour toute API HTTP Rest !

N’accorder aucune confiance au réseau public !

Enfin, s’agissant de la sécurité des applications et/ou des données d’une entité accédées depuis l’espace public, il ne faut accorder aucune confiance au réseau : les solutions telles que le protocole Kerberos, le VPN et le proxy, qui agissent au niveau de la couche réseau, ouvrent grand les portes du réseau local. Et que dire du proxy inverse qui répète la réponse à une requête sans tenir compte de l’origine ? Ces techniques doivent être utilisées avec discernement.
OpenID Connect se situe au niveau de la couche applicative et contribue ainsi à l’approche ZTNA : il est nullement question d’autoriser l’accès au réseau, mais à une application, et encore, avec une portée d’autorisation dépendant de l’utilisateur.

Gageons qu’avec le télétravail, beaucoup d’entreprises qui auront ouvert leur réseau dans la précipitation vont connaitre de graves accidents de sécurité !

Faciliter en toute sécurité la navigation et l’échange de données au sein d’une application multiple

OAuth a de nombreuses applications, cependant les cas suivants en illustrent bien les possibilités :

Authentification unique pour un groupe d’applications

Lorsque l’application comporte différents logiciels sur différents sites, ou utilise plusieurs serveurs (c’est le cas "dans le Cloud"), ou encore si elle est fondée sur une architecture REST (sans état ni session), il n’est pas praticable de demander à un même internaute plusieurs authentifications successives. Voyez comment OAuthSD apporte la solution sans nécessiter de modification des applications : SLI, SSO, SLO et SRA sont dans un bateau : OAuthSD.

Un cas de figure très simple est celui d’un CMS ( Wordpress, SPIP ...) auquel on souhaite adjoindre une application de forum étrangère au CMS ( SPIP, PhpBB, WP ... ). Le serveur d’authentification permet de ne demander qu’une seule fois à l’internaute de s’identifier.

Cela devient très puissant dans le cas d’une application de vente couplée à un CMS et liée avec plusieurs blogs et forums : la navigation d’un utilisateur à travers le groupe d’applications ne nécessitera qu’une seule procédure d’authentification. On peut également envisager d’autoriser l’accès de cet utilisateur aux pages publiques le concernant d’un CRM (ou plus généralement d’un ERP) lié au site de vente.

Sécurité des communication entre applications

Un cas de figure classique est celui d’une application principale faisant appel à différentes ressources qui lui sont extérieures. Une fois l’internaute authentifié sur l’application principale, les serveurs de ressources doivent être certains de l’origine des requêtes qui leur sont faites.
A minima, le serveur d’authentification permet de ne pas dévoiler le login et mot de passe de l’utilisateur aux applications tierces. Mais l’avantage déterminant d’OpenID Connect est de fournir un jeton d’identité dans lequel l’identité de l’application cliente, l’identification de l’utilisateur et les autorisation d’accès sont liées par une signature cryptographique qui pourra être validée par le serveur de ressource destinataire.

Nous vous proposons un bon exemple de mise en œuvre des principes d’OIDC : l’application DnC SaaS, un système de diffusion de logiciel en tant que service (Software as Service, SaaS). Dans cette application, OAuthSD fournit l’authentification OIDC et transmet de façon sécurisée aux applications SaaS les paramètres relatifs aux abonnements des souscripteurs.

Session inter applications

En plus des services définis par les standarts OAuth et OIDC, OAuth Server by DnC offre en exclusivité le moyen d’échanger très simplement des informations de façon sécurisée entre applications web : c’est le service de CloudSession.

Prestataires Web, protégez vos intérêts et protégez vos clients

Étant propriétaire de site web ou développeur, vous pouvez résoudre la question de l’authentification unique en la délégant à G..gle, F...book etc.. Ce faisant, vous offrez à ces prestataires une magnifique occasion d’analyse comportementale de vos clients et de ciblage publicitaire. Mieux encore : vous exigez de vos clients qu’ils enregistrent sur ces services des renseignements confidentiels, dont la plupart, au delà du pseudonyme et du mot de passe, sont parfaitement inutiles dans un simple but d’authentification !

De plus, pensez-vous que cette façon de faire est compatible avec le Règlement Général de Protection des Données (RGPD) ?

Protégez vos intérêts commerciaux

Vous pouvez penser que, de toutes les façons, la plupart de vos clients ont un compte G..gle ou F...book etc.. C’est vrai, mais tout n’est pas perdu : vous pouvez au moins faire en sorte que ces prestataires publicitaires ne pistent pas la navigation de vos clients dans vos applications ( tracking ), ce qui ne manquerait pas de provoquer l’affichage de publicité de vos concurrents dans la suite de la navigation de vos clients sur le web.

Créez la confiance

En utilisant notre plateforme d’authentification, vous montrez à vos clients que vous vous attachez au respect de leur vie privée en protégeant leurs données personnelles.

Le contexte dans lequel se conçoit la sécurité de l’Usine du Futur

Une ouverture encore mal maîtrisée

S’agissant de la sécurité des applications informatiques des entreprises le modèle initial consistait (et consiste toujours pour beaucoup) à sanctuariser les données et les traitements dans un réseau local isolé des services extérieurs et auquel seuls les utilisateurs du site pouvaient accéder. Ce modèle radicalement efficace est devenu inapplicable compte tenu de l’intérêt que pourraient présenter certains services externes pour une application particulière et de la nécessité d’ouvrir l’accès au réseau à des utilisateurs extérieurs : collaborateurs, clients, usagers. Il paraît inutile de justifier plus avant ce qui est maintenant une évidence.
S’agissant des collaborateurs hors site, une première ouverture a consisté à permettre l’accès à des utilisateurs ou des applications depuis le réseau Internet à l’aide de pare-feu, de tunnels ou d’une console distante, l’accès étant contrôlé en une seule fois à l’entrée. Le collaborateur distant se trouve alors dans la même situation que s’il se trouvait sur le site de l’entreprise. Bien que ce modèle périmétrique soit à l’origine de nombreux et graves problèmes de sécurité, sa simplicité conceptuelle, son application dès les débuts de l’informatique et sa facilité de mise en œuvre en font une solution trop largement adoptée.
Parallèlement, le besoin s’est fait sentir de mettre à la disposition du public des applications leur permettant d’interagir avec les données de l’entreprise ou de l’administration. C’est tout naturellement que les applications Web sont nées. L’utilisateur distant n’accède plus au réseau avec des outils omnipotents, mais au niveau applicatif, de son navigateur au « site web », c’est à dire à une application résidant sur un serveur. Une authentification de niveau applicatif, gérée par l’application elle même, permet de limiter son accès aux seuls traitement et données qui sont autorisés à l’utilisateur qui s’y connecte.
On aurait pensé que les applications Web auraient été développées dans le même temps pour permettre le télétravail, mais cela n’a pas été anticipé par les grandes entreprises restées positionnées sur le travail sur site, ou accoutumées aux tunnels ( établissant des réseaux virtuels privés ou virtual private network, ou tunnel VPN ) pour le travail de site à site, et qui ont naturellement adopté le modèle périmétrique pour le télétravail.
Outre les facteurs historiques et culturels, il faut reconnaître le frein que représente la nécessité de modifier les applications « natives » pour en faire des applications web capables d’authentification, avec des délais et des coûts considérés comme improductifs. Face à l’urgence d’organiser le télétravail, un marketing opportuniste a fait admettre le tunnel VPN comme la panacée, alors que cela consiste à étendre le réseau de l’entreprise aux réseau locaux des box familiales au domicile des employés, avec les risques que l’on imagine - eh bien non, justement, on ne l’imagine pas. Alors que la sécurité des tunnels de site à site avait soigneusement été établie, la précipitation et les mauvaises pratiques prévalent dans le cadre du télétravail.

La tentation du Cloud

Une certaine image de l’Usine du Futur est aujourd’hui déterminée par des facteurs qui lui sont largement étrangers :
 la domination du marché grand public sur le marché professionnel, imposant ses produits et ses schémas mentaux ainsi que ses méthodes de marketing,
 le besoin de connexion à distance pour le télétravail, malheureusement fondé sur des réseaux conçus pour le grand public et des équipements domestiques,
 le désir de mobilité, recherche quasi ludique d’une facilité de connexion permanente, sans distinction de moyens, de techniques ou de comportement entre l’espace professionnel et la vie extérieure,
 l’approche commerciale des entreprise de services du numérique qui, à la suite des GAFAMs ayant largement promu la technique d’externalisation des services dans le Cloud, proposent de plus en plus des plateformes en tant que service (PaaS) qui leur sont particulièrement avantageuses, en évitant de trop mentionner ni traiter les problèmes de sécurité que cela implique.

A ces facteurs extérieurs, on pourrait ajouter deux tendances bien ancrées dans l’esprit de certains dirigeants et qui devraient pourtant appartenir au passé :
 l’externalisation de fonctions relevant de compétences considérées comme inaccessibles ou rangées par principe hors du « cœur de métier »,
 l’incompréhension des techniques de sécurité, la confiance excessive, la négligence au nom de la rapidité de développement et de la productivité, ou encore le classement des investissements de sécurité dans les charges improductives,
 la crainte de se voir reprocher des choix technologiques hasardeux plutôt que le maintien de techniques dont la fiabilité serait justifiée par leur ancienneté et leur large adoption,
 le sentiment de propriété des ITs sur la sécurité, qui - de leur point de vue - devrait être de leur seule compétence et donc appliquée exclusivement au niveau réseau, faussement en concurrence avec une sécurité au niveau applicatif présentée comme alternative et non comme complémentaire.

Ainsi, il est donné aux public et aux chefs d’entreprise une vision de l’Usine du Futur dans laquelle tout est connecté à tout, sur le modèle applicable au grand public.
L’une des implications les plus lourdes pour la sécurité des réseaux est la multiplication des connexions extérieures non seulement à la périphérie des réseaux, mais encore dans leur profondeur.
Or, un grand désordre existe dans la sécurité des réseaux, à l’origine de nombreux accidents de sécurité ou de sûreté de fonctionnement. Pour l’Usine du Futur, de tels accidents sont inacceptables car ils pourront se traduire en perte de propriété industrielle et en arrêt de production.

Le modèle « Jéricho »

Depuis longtemps déjà les entreprises ont ouvert l’accès à leur réseau en contrôlant l’accès à leur périmétrie. Cependant, de multiples attaques aux conséquences graves ont démontré la faillite du modèle périmétrique.
Ce constat a été fait il y a de nombreuses années déjà. En 2004, le Jericho Forum introduisait le concept de dépérimétrisation, une stratégie de défense qui consiste en un système de sécurité segmenté et multicouche basé sur le chiffrement et l’authentification, incluant les ressources hors site. Plus proche de nous, le concept de « zéro confiance à l’accès réseau » ( Zero Trust Network Access, ZTNA ) en reprend quelques principes, sous une forme plus médiatique, mettant l’accent sur l’authentification.
Selon le modèle « Jéricho », la sécurité est appliquée là où se trouvent les données et les traitements à protéger, c’est à dire au niveau applicatif de chaque service ( applications, services Web, machines, objets connectés etc. ). C’est bien ce qu’applique l’OTAN avec le principe de protection "Data-centric Security (DCS) :" rather than focusing on network perimeter defence focuses on securing access to the data itself. [1]".

Il ne faut pas concevoir l’authentification au niveau applicatif comme un moyen de suppléer à une mauvaise sécurité du réseau. Assurer la sécurité à travers les applications web exige que l’on ne puisse pas accéder directement aux données au niveau réseau. Le principe sera d’isoler les services dans un périmètre réduit ( résultant de la segmentation multicouche ), bien sécurisé au niveau réseau et accessibles seulement au niveau applicatif avec authentification. En particulier, cela exige de ne pas permettre l’accès direct au gestionnaire de données, ce qui implique que toute opération administrative devrait être effectuée à partir d’une connexion locale. L’idéal serait de n’ouvrir au niveau réseau que les ports strictement nécessaires aux protocoles de la couche ISO n° 5, à la limite seulement 443 pour HTTP et MQTT sécurisés par TLS.

L’Usine du Futur sera sécurisée ou ne sera pas

Mais de quoi parle-t-on ? L’usine du Futur n’existe-t-elle pas déjà ? Les chaînes de construction automobile ne sont-elles pas déjà totalement informatisées et robotisées ? Le système CATIA ne permet-il pas de concevoir, développer et réaliser de nouveaux produits, son succès mondial témoignant de sa sécurité ? A l’évidence les grandes entreprises ont maîtrisé le sujet. Il est certain qu’elles ne sont pas sensibles à l’image médiatique, ayant les moyens d’étude nécessaires à la conduite de leur évolution.
Ce sont les TPE/PME qui se trouvent à la merci du tapage médiatique – y compris sur les revues « professionnelles » - et la cible de démarches commerciales mal adaptées. Ce sont elles qui doivent être accompagnées au cours de leur création ou de leur transformation.

Sûreté de fonctionnement, Contrôle des accès et Sécurité des données

Si on se réfère aux offres d’un marketing dominant, il faut s’en remettre à l’Internet pour délocaliser les données et les traitements dans le Cloud. Les données font alors le tour du monde : où et par qui sont-elles traitées, et par quelles applications ? Où sont-elles sauvegardées ? Comment sont-elles protégées ?
Avant de répondre à ces questions, il faut définir la notion de Cloud .

Cloud ou Cloud privé ?

Il convient tout d’abord de distinguer :
 La définition initiale du Cloud qui est née de la virtualisation des traitements et du stockage des données chez les grands hébergeurs, permettant de mettre à disposition des abonnés des ressources virtuelles. Dans cette configuration, il s’agit de "Cloud privé" dont l’accès et la configuration sont sous le contrôle de l’entreprise ( ou a minima d’un sous-traitant de confiance ). Des offres telles que IBM Cloud, Amazone AWS ou OVH Private Cloud offrent les garanties de propriété attendues par les entreprises.
 Une externalisation générale des traitements et des données confiés à des sous-traitants extérieurs à l’entreprise, qui eux-mêmes peuvent faire appel à d’autres intervenants sans que ce soit identifiable et contrôlable par l’entreprise, ni même stable dans le temps. Parmi ces offres, il existe des services de données ou de traitement sans doute très commodes, mais dont la qualité et la pérennité est incontrôlable. L’opacité de cette configuration a conduit au terme de nuage, qui par un effet de sablier a été érigé au niveau d’un principe largement véhiculé par les médias.

Un enjeu de sécurité

Avec des données et des traitements distribués dans un tel Cloud, tous les enjeux de sécurité se situent hors de la portée de l’entreprise :
• Sécurité des accès : l’authentification des utilisateurs et des applications est déléguée hors du contrôle de l’entreprise.
• Sécurité des données des utilisateurs du public : peut-on réellement appliquer le RGPD ?
• Sécurité des données de l’entreprise non garantie, exposant à l’espionnage industriel et à la contrefaçon.
• Sauvegarde des données de l’entreprise : il lui est impossible de s’en assurer, au risque d’une perte totale.
De plus dans une telle configuration, la surface d’attaque est indéfinie et probablement immense.

Un enjeu de sûreté, de rapidité et de continuité de fonctionnement

• Sûreté de fonctionnement : trop de composants hors du champ d’action de l’entreprise, totalement contraire à toute démarche de qualité.
• Rapidité : les processus industriels sont quasi temps réel. Des interruptions de service de quelques secondes, ou des temps de réponse présentant de temps en temps des valeurs inacceptables, peuvent déstabiliser une chaîne de production, voire provoquer son arrêt.
• Continuité : la disponibilité des réseaux est également en question, en commençant par le raccordement de l’entreprise au réseau. Certes, le maillage de l’Internet assure la sûreté du transport à longue distance, mais le même problème de disponibilité se retrouve du côté des fournisseurs, à moins qu’il s’agisse de grands hébergeurs.

Pas totalement convaincu ? Voyez : David Heinemmeier Hansson : « Why we are leaving the cloud ».

"On premise" ou cloud privé ?

L’analyse ci-dessus conduit à :
 ne pas tout mettre dans un Cloud mal défini et hors contrôle, mais s’en tenir aux Cloud privés des grands hébergeurs, voire à un datacenter de proximité ( ou Cloud de proximité ).
 envisager la technique du "serveur edge" pour réduire la surface d’attaque, réduire le temps de réponse, contribuer à la résilience et conforter la souveraineté.
 identifier les tâches sensibles aux délais de transmission ou d’interruption de service (voire aux attaques de déni de service) et les assurer localement (résilience),
 veiller à confier les tâches sensibles à des sous-traitants proches.

Une approche radicale de la résilience conduirait à distinguer un ensemble indépendant de machines, d’applications de contrôle et de gestion quotidienne de la production capable d’assurer la production sans connexion extérieure.

Quel choix pour un serveur d’authentification ?

Le principe de l’authentification avec OpenID Connect est que les applications délèguent le processus au serveur, le dialogue d’identification étant effectué directement entre l’utilisateur et le serveur, sans intervention de l’application. Il en résulte que toutes les données relatives à l’authentification des applications et des utilisateurs, leurs données personnelles et les données cryptographiques sont situées sur le serveur.

De plus, les échanges entre les différents pôles pour l’authentification se produisent très fréquemment au rythme des échanges de données et doivent être extrêmement rapides. Quelques dizaines de millisecondes est l’ordre de grandeur visé. Le serveur est le coopérant obligé de toute transaction sécurisée. Il doit donc être parfaitement disponible.

Enfin, la plus dangereuse des attaques serait le détournement du trafic vers un serveur pirate. Pour se prémunir contre tout détournement d’adresse Internet (IP) il convient de situer le serveur d’authentification dans un "système autonome" cohérent avec le réseau de l’entreprise. Une solution radicale serait de placer le serveur dans le réseau de l’entreprise. Sinon, il convient de choisir un ensemble de réseaux gérés par une même entité (fournisseur de service, hébergeurs, intermédiaires techniques, etc.).

La sécurité et la sûreté imposent donc de situer le serveur d’authentification "à proximité" du réseau de l’entreprise.

Principe

La caractéristique principale d’OAuth 2.0 comme d’OpenID Connect tient au faut fait que l’utilisateur n’a plus besoin de s’inscrire sur chaque application à laquelle il veut accéder car la procédure de connexion (la fourniture du login et du mot de passe) se passe sur le serveur d’authentification. Il est donc nécessaire de ne s’inscire qu’une seule fois. On parle d’inscription unique (Single Sign On, SSO).

Le schéma de processus ci-dessous explicite le concept :

L’application ne voit jamais les identifiants de connexion (login et mot de passe), ni d’autres informations personnelles qui pourraient être demandées pendant la procédure d’autorisation, celles ci-circulant exclusivement, et de façon cryptée, entre le navigateur de l’utilisateur et le serveur OAuth.

Ensuite, la communication entre le serveur d’authentification et les serveurs d’applications tierces transporte des jetons (Token), et non les identifiants de connexion [1].

Sans entrer dans les détails, notons la magie qui se cache derrière "Call application with access token".
Comment le jeton est-il validé ? Il y a là un sujet généralement laissé dans l’ombre et que nous allons amplement développer, jusqu’à préconiser l’emploi exclusif d’OpenID Connect.

Avantages

La délégation d’authentification (d’une application à un serveur) présente de nombreux avantages :
 protection des identifiants de connexion (comme illustré ci-dessus),
 enregistrement unique : un seul enregistrement des login et mot de passe sur le serveur d’authentification pour se connecter à toutes les applications compatibles,
 connexion unique : une seule fourniture de login et de mot de passe pour une navigation entre plusieurs applications compatibles,
 protection de l’accès aux ressources externes tels que les web-services.

Ce dernier point mérite un développement. Alors que le point de vue sur OAuth 2.0 et OpenID Connect est le plus souvent réduit à un moyen de connexion unique (Single Sign On ou SSO), la transmission de jetons aux ressources protégées offre à celles-ci le moyen de vérifier l’authenticité de la requête qui leur est faite, en identifiant l’application qui est à l’origine de la demande [2] ainsi que l’utilisateur final. OAuthSD et OpenID Connect apparaissent alors comme un système de sécurisation global des accès à un ensemble de ressources de type web (API et web service répondant au protocole HTTP) réparties sur les réseaux.

OAuthSD intègre la plupart des fonctionnalités d’OAuth 2.0. Les fonctionnalités d’OAuth 2.0 et de OpenID Connect peuvent être atteintes par les Points d’extrémité d’OpenID Connect.

Type de flux selon les paramètres de l’appel

1. Requêtes adressées au point d’extrémité authorize. Les différentes valeurs du paramètre response_type (obligatoire) et du scope openid (facultatif) déterminent les flux d’autorisation (Grant Type) suivants :

Références :
 The OAuth 2.0 Authorization Framework.
 OpenID Connect Core 1.0 incorporating errata set 1 : Authentication using the Hybrid Flow.

Notes :
 A propos des response type "id_token" et "id_token token" :
ces types de réponse correspondent à des flux implicites retournant directement les jetons. Le paramètre "nonce" doit être présent dans la requête.

 A propos des response type "code token" et "code token-id token" :
ces types de réponse correspondent à des flux hybrides retournant directement le ou les jetons en même temps que le code d’autorisation. OAuthSD est fondé sur la librairie OAuth 2.0 Server PHP développée par Brent Shaffer. Dans le cadre d’OpenID Connect, celle-ci n’accepte que la demande de flux hybride "code id_token".

2. Requêtes adressées directement au point d’extrémité token. Ces flux ne sont définis que par OAuth 2.0 et ne retournent pas de jeton d’identité, que le scope openid soit indiqué ou non.

References :
 RFC 6749 Client Credentials Grant,
 Spécification draft-ietf-oauth-jwt-bearer-07 section 1

Synthèse des fonctionnalités offertes par les différents flux OpenID Connect

Voir : https://openid.net/specs/openid-connect-core-1_0.html#Authentication

Choix du flux en fonction de la configuration

Tous les flux n’ont pas la même valeur pour la protection des données confidentielles.
Avant de choisir un flux OpenID Connect, il est important d’identifier la configuration des parties prenantes (applications, serveur OIDC, serveurs de ressource etc.).

Cette problématique est exposée ici : Typologie des applications au regard de la sécurité des données.

Pour tester le serveur OAuthSD avec vos applications :
 Inscrivez-vous comme auteur d’applications
 Lier une application cliente au serveur OAuthSD

authorize - Point d’extrémité d’autorisation (Authorization Endpoint)

https://oa.dnc.global/authorize

Le point d’entrée Authorize est le point de départ pour les flux basés sur un navigateur, tels que le flux d’autorisation ou le flux implicite.

Le serveur assure l’identification de l’utilisateur final en lui soumettant une ou plusieurs méthodes d’authentification ainsi qu’une demande d’approbation relative à l’utilisation de ses données.

Il faut distinguer (voir OpenID Connect et OAuth 2.0 : Synthèse des flux d’autorisation (Grant Type)) :

 Les flux d’Autorisation via un code (Authorization Code Grant) qui retournent sur l’URI de retour à l’application cliente (Redirection Endpoint) un code qui permettra à cette application d’obtenir les jetons auprès du contrôleur Token. Ce type de flux permet d’authentifier l’application cliente s’il s’agit d’une application Web.
 Les flux de type Implicit ou Hybrid qui permettent d’obtenir directement les jetons. Ils ne permettent pas d’authentifier l’application cliente.

On distinguera également les flux répondant au standard OAuth 2.0 des flux OpenID Connect. Seuls les flux OpenID Connect réaliseront une authentification véritable car ils permettent d’obtenir un jeton d’identité au format JWT qui, étant signé, lie de façon sécurisée l’identité de l’utilisateur finale, celle de l’application cliente ainsi que la portée de l’autorisation.
De plus, le jeton d’identité peut être validé localement par l’application sans nécessiter de retour vers le serveur. Mais on ne peut mentionner cet avantage sans souligner que seule l’introspection permet de savoir si le jeton d’accès correspondant a été révoqué ou non.

S’agissant du jeton d’identité, OAuthSD permet d’intégrer des déclarations supplémentaires dans la charge utile du jeton JWT. Les développeurs pourront ainsi moduler les droits et privilèges de l’utilisateur final en fonction de son identité, de son appartenance ou de son profil. Un exemple particulièrement intéressant est donné par la transmission aux applications Software as Service (SaaS) des paramètres relatifs aux abonnements des souscripteurs. Une application en est donnée par le système DnC SaaS.

Dans le cadre des flux OpenID Connect, outre la fonction d’inscription unique (Single Sign On, SSO) le serveur OAuthSD implémente toutes les fonctions attendues pour le management de session : la fonction d’identification unique (Single Login Identification, SLI), la déconnexion unique (Single Login Out, SLO) ainsi que la ré-authentification silencieuse (Silent Re-Authentication, SRA), y compris avec le jeton d’identité (id_token_hint). Ceci sans modification du code d’interface des applications avec OIDC, tout étant pris en compte au niveau du contrôleur Authorize. Le Monitoring de l’état de l’authentification par les applications est également soutenu par Authorize.

token - Point d’extrémité de jeton (Token Endpoint)

https://oa.dnc.global/token

Le point d’entrée Token renvoie les jetons d’accès, les jetons d’identité et les jetons d’actualisation en fonction du type de flux et des paramètres de la demande.

Pour les flux Autorisation via un code, l’appel à Token est la deuxième étape.

Pour les flux Client Credentials, User Credentials et JWT Bearer, c’est la seule étape du flux. Ces flux ne sont définis que par OAuth 2.0 et ne retournent pas de jeton d’identité.

Notes :
 OAuthSD permet aux applications publiques d’obtenir les jetons sans dévoiler le secret de l’application avec le Flux de code d’autorisation + PKCE.
 Aucun flux défini par OpenID Connect ne s’adresse directement à Token.
 Les flux implicites définis par OAuth 2.0 comme par OpenID Connect permettent d’obtenir les jetons à l’appel d’Authorize.
 Certains auteurs définissent dans le cadre d’OAuth 2.0 un flux "Refresh Token Grant" s’adressant au point d’extrémité de jeton. Il ne s’agit pas à proprement parler d’un flux puisque, prolongeant un flux d’autorisation établi précédemment, il ne peut exister de façon autonome. Voir : Rafraîchir (actualiser) un jeton d’accès.

introspect - Point d’extrémité d’introspection (Introspection Endpoint)

https://oa.dnc.global/introspect

Une application ou une ressource protégée recevant un jeton doit toujours le valider avant de poursuivre son processus.

Le point d’entrée Introspection détermine l’état actif et les méta-informations d’un jeton. Le document RFC 7662 définit l’introspection pour un jeton d’accès dans le cadre d’OAuth 2.0.
OAuthSD étend l’introspection au jeton d’identité ID Token (au format Json Web Token, JWT) défini par OpenID Connect ainsi qu’aux jetons d’identité cryptés (au format Json Web Encryption JWE).

Notes :
 Un jeton d’accès ne peut être validé localement et ne peut l’être que par introspection.
 En revanche, un jeton d’identité (qui est signé cryptographiquement) peut aussi être validé localement. Cependant l’introspection permet de savoir si le jeton n’a pas été révoqué.
 L’utilisateur final désigné par la déclaration sub du JWT, ou sujet (subject), est considéré comme connecté par OAuthSD s’il existe un access_token valide (non expiré) pour ce sujet et le client au moment de l’introspection.

userinfo - Point d’extrémité d’informations sur l’utilisateur final (UserInfo)

https://oa.dnc.global/userinfo

Le point d’entrée UserInfo est une ressource protégée qui retourne des informations sur l’utilisateur final qui est le sujet de l’authentification.
Les demandes adressées au point de terminaison UserInfo doivent être authentifiées avec les informations d’identification du client (Client Credentials Grant) ou autorisées avec un jeton d’accès au porteur (Bearer Token).
En conséquence, l’application appelante (ou le serveur de ressource) doit être enregistrée comme cliente sur le serveur d’authentification.
S’agissant d’une spécification d’OpenID Connect, l’application appelante doit avoir été enregistrée avec le scope réservé ’openid’.

Une idée directrice du standard OpenID Connect est de demander à l’utilisateur final son accord (grant) pour l’utilisation de ses données personnelles. La réponse UserInfo est donc modulée par les portées d’autorisation (Scopes) demandées et accordées.

Puisque nous parlons des portées d’autorisation, il est malheureux de constater que le terme "Scope" couvre différentes réalités.

logout - Point d’extrémité de déconnexion (Logout Endpoint)

https://oa.dnc.global/logout.php

Le point d’entrée Logout permet de déconnecter un utilisateur au niveau du serveur d’authentification en effaçant tous les jetons d’accès qui lui sont associés. En une seule opération (Single Logout, SLO), l’utilisateur pourra déconnecter toutes les applications sur tous les terminaux à partir desquels il était connecté, ainsi que les applications qui auraient été connectées en son nom. Cependant, pour que cela fonctionne, il faut que les applications interrogent le serveur d’authentification, soit par introspection des jetons, soit par Monitoring.

Les demandes de déconnexion adressées au point de terminaison Logout doivent être authentifiées à l’aide du jeton d’identité obtenu au moment de l’authentification du client considéré.
S’agissant d’une extension d’OpenID Connect, l’application appelante doit avoir été enregistrée avec le scope réservé ’openid’.

Notons que le serveur OAuthSD exécute immédiatement la déconnexion si le jeton d’identité est valide. Un éventuel dialogue de confirmation devrait être géré côté client dans le cadre de la fonctionnalité "Monitoring".

revoke - Point d’extrémité de révocation (Revocation Endpoint)

https://oa.dnc.global/oauth/revoke.php

Le point d’entrée Revoke permet d’invalider un jeton d’accès ou de rafraîchissement.
Le jeton d’identité associé au jeton d’accès sera également invalidé.
Cependant, une application ne pourra le savoir que si elle valide les jetons par introspection ou par Monitoring.

Notons que la déconnexion (Logout) implique une révocation de tous les jetons de l’utilisateur final considéré.

keys - Point d’extrémité d’informations sur les clefs (Keys Endpoint)

https://oa.dnc.global/keys

Le point d’entrée Keys est une ressource protégée qui renvoie un jeu de clés Web JSON (JWKS) qui contient les clés publiques qui pourront être utilisées par un client pour vérifier la signature d’un jeton d’identité.

Les demandes adressées au point de terminaison Keys doivent être authentifiées avec les informations d’identification du client (Client Credentials Grant) ou autorisées avec un jeton d’accès au porteur (Bearer Token).

Notons qu’OAuthSD expose localement un contrôleur Updatekeys qui renouvelle automatiquement toutes les paires de clés publiques/privées. Ce contrôleur, par exemple, pourra être évoqué régulièrement par une tâche CRON.

resource - Point d’extrémité de ressource (Resource Endpoint)

https://oa.dnc.global/oauth/resource.php
Le point d’entrée Resource [2] renvoie des informations sur le jeton d’accès qui lui est adressé, dont sa validité.
Le client effectuant la demande ne nécessite pas d’authentification.

Découverte des points d’entrée

Conformément à la spécification OpenID Connect Discovery 1.0, OAuthSD expose ses métadonnées à l’URI :

Ce sujet est traité plus en détail ici : API OpenID Connect : Découverte.

Pour tester le serveur OAuthSD avec vos applications :
 Inscrivez-vous comme auteur d’applications
 Lier une application cliente au serveur OAuthSD

 
A propos d’OAuthSD v2 :
OAuthSD offre maintenant un jeu unique de points d’entrée. OIDC étant construit sur OAuth 2.0, l’idée directrice est que l’approche "par le haut" depuis OIDC simplifie considérablement la compréhension.

Systèmes d’identification intégrés à OAuthSD

OAuthSD distingue les fournisseurs d’identité primaire et, si l’identification à deux facteurs (2FA) est activée, les secondaires. Les constantes de configuration IDENTITY_PROVIDER et TFA_PROVIDER permettent de définir quel seront les systèmes utilisés.

OAuthSD offre en standard les systèmes d’identification suivants :

 Identification primaire (constante IDENTITY_PROVIDER) :

• ’password’ : identification classique par login et mot de passe,
• ’ghostkeys’ : identification par login et mot de passe entré dans une grille aléatoire.

 Identification secondaire (constante TFA_PROVIDER) :

• ’checkbysms’ : la classique vérification par SMS,
• ’gangsta’ : identification de type TOTP (Time-based One-time Password) avec Google Authenticator (DnC développe votre propre TOTP pour plus de sécurité).
  (plus à venir ...)

En savoir plus :
 Systèmes d’identification intégrés à OAuthSD,
 Validation en 2 étapes (Two Factor Authentication, 2FA) .

DnC’s IdentMaster

DnC développe DnC’s IdentMaster, une application de mobile permettant une identification très sécurisée de l’utilisateur final.
DnC’s IdentMaster fonctionne sans mot de passe et impose le login, réduisant ainsi les risques d’intrusion.
Fondé sur les meilleures pratiques cryptographiques, cette méthode est fermée à une utilisation publique et se trouve donc particulièrement adaptée à la sécurisation des accès aux données dans un domaine d’entreprise.

En savoir plus sur DnC’s IdentMaster.

Délégation de l’identification à un Identity Provider

Une facilité consiste à utiliser les services d’identité de Google, Facebook, Twitter etc. Cela procure certainement un grand confort pour l’utilisateur et illustre parfaitement le principe du SSO.
Cependant ce n’est pas le bon moyen d’assurer la confidentialité que l’on souhaite dans une organisation mettant en œuvre des informations protégées qui lui appartiennent. Permettre à un utilisateur de se connecter simultanément à un réseau social et à des applications métiers de l’organisation au moyen du même système d’identification est certainement ce que l’on peut imaginer de pire en matière de protection des données.

Utilisation de systèmes d’identification locaux

OAuthSD permet d’intégrer des systèmes d’identification du réseau local, qu’il s’agisse de standard tels que LADP et Active Directory (Kerberos) ou spécifiques à une organisation : ID card (Aramis) , identification biométrique etc.. Un tel système peut aussi bien se substituer à l’identification primaire que secondaire.

En savoir plus :
 Identification par OpenID Connect des utilisateurs identifiés avec Kerberos,
 Identification OpenID Connect avec ID Card : Aramis,
 Utiliser SPIP comme pourvoyeur d’identité d’OIDC.

Le jeton d’accès fourni par OAuth 2.0 est un simple hash de valeur aléatoire, non signé, donc obscur pour la ressource protégée qui le reçoit. La spécification d’OAuth 2.0 ne définit pas comment le jeton passé à un serveur de ressource doit être validé par celui-ci [2]. Ceci est laissé à l’initiative du développeur, avec un certain nombre de défauts :

 Puisqu’il n’y a pas de méthode standard, les implémentations d’OAuth sont nécessairement toutes propriétaires.

 OAuth 2.0 ne définit pas comment un serveur de ressources protégées doit vérifier la validité du jeton d’accès ni comment interpréter l’étendue des autorisations (scopes). Le fait que la nécessité de vérifier le jeton n’est pas mentionnée dans la spécification ouvre la porte à des développements insuffisamment sécurisés.

 enfin, les flux OAuth 2.0, retournant des jetons non signés (alors que OAuth 1 assurait la signature !), ne sont sécurisés que si l’on peut "faire confiance" aux applications clientes (par exemple, l’URL de retour est "codée en dur" dans l’application). Autant dire qu’ils ne sont sécurisés que dans un espace propriétaire (corporate realm). Pour être utilisés dans un espace ouvert, il manque une signature pour authentifier, comme le démontre brillamment un des concepteurs d’OAuth 2.0, Eran Hammer : OAuth 2.0 (sans signature) est mauvais pour le Web :

"OAuth 2.0 supprime les signatures et la cryptographie en faveur des jetons portés, semblables aux cookies. En tant qu’éditeur d’OAuth 2.0, je suis associé au protocole OAuth 2.0 plus que la plupart des autres, et l’hypothèse est que je suis d’accord avec les décisions et les orientations prises par le protocole. Bien que le fait d’être éditeur donne un certain degré de contrôle temporaire sur la spécification, les décisions sont finalement prises par le groupe dans son ensemble (comme il se doit).
Et dans son ensemble, la communauté OAuth a commis une grave erreur (ndlr : en supprimant la signature des jetons) quant à l’orientation future du protocole. Une erreur qui fera d’OAuth 2.0 un agent de changement beaucoup moins important [3] sur le Web."

OAuthSD applique la proposition de standard RFC 7662 : OAuth 2.0 Token Introspection. OAuthSD expose un point d’entrée d’introspection qui permet de vérifier aussi bien les jetons d’accès d’OAuth 2.0 que les jetons d’identité d’OpenID Connect.

Il faut donc passer à OpenID Connect !

OpenID Connect [4] complète les fonctionnalités d’OAuth 2.0 pour apporter, avec le jeton JWT signé ou JWS [5], des informations sûres sur l’application cliente, la portée de l’autorisation (scope) et, le cas échéant, sur l’utilisateur connecté à l’application cliente.

Cependant, vérifier la signature du jeton ne suffit pas. Il ne faut pas écarter la possibilité d’un vol de jeton qui sera présenté par une application étrangère. OAuthSD prend en compte ce cas de figure (voir : Vérification de l’origine de la requête reçue par un serveur de ressource). Cette approche stricte de la sécurité conduit à la conclusion que seul le flux Authorization Code appliqué à des applications clientes de type web (avec back-end) peut être considéré comme sûr. Voyez : Typologie des applications au regard de la sécurité des données.

Que reste-t-il d’OAuth 2.0 ?

Dans un "espace de confiance" (dont les communications sont au minimum protégé par TLS), certains pourront considérer que l’identification de l’utilisateur final n’est pas nécessaire, ni la vérification de l’application cliente. Ceux-là utiliseront les flux d’OAuth 2 pour leur simplicité, et en particulier le flux Autorisation de Serveur à serveur (Client Credentials Grant) pour assurer l’accès des applications à une API protégée.

Quoi qu’il en soit, OAuth 2.0 reste une infrastructure sur laquelle sont construits de nouveaux protocoles comme OpenID connect. Une tendance est donc de considérer OAuth 2.0 comme une infrastructure (en oubliant ses protocoles mais sans oublier l’introspection) et OpenID Connect comme un protocole construit sur OAuth 2.0.

OAuth Server by DnC est conforme à La norme OAuth 2.0 (RFC 6749) et s’appuie sur la librairie OAuth2 Server Library for PHP développée par Brent Shaffer (voir : http://bshaffer.github.io/oauth2-se...).

Cette API n’assure pas l’identification de l’utilisateur ni la gestion du consentement et encore moins les fonctionnalités avancées décrites ci-après.

DnC a encapsulé cette bibliothèque dans une application serveur, en apportant les développements suivants :

 Le protocole OpenID est implémenté avec des extensions exclusives :

• Avec les flux OpenID Connect, le contrôleur Authorize est développé pour assurer la SSO et connexion unique (Single Login Identification, SLI) sur de multiples applications, la ré-authentification silencieuse (Silent Re-Authentication, SRA) et la déconnexion unique (Single Login Out, SLO). Voir : SLI, SSO, SLO et SRA sont dans un bateau : OAuthSD. Alors que la plupart des implémentations exigent des développements du côté des applications clientes, OAUthSD vous offre ces fonctionnalités sans aucune modification de celles-ci, pourvu qu’elles soient compatibles avec OpenID Connect.

• OAuthSD offre différentes méthodes d’identification de l’utilisateur et met en œuvre la Validation en 2 étapes (Two Factor Authentication, 2FA) . Le système d’identification d’une organisation peut également être utilisé. Enfin, le procédé d’identification NoPassConnect permet de se passer des mots de passe.

• Le monitoring de l’état de l’authentification permet à l’utilisateur final de visualiser l’état de la session OIDC. L’utilisateur est averti de l’imminence de la fin de session et peut la prolonger.

• Dans un domaine du réseau local contrôlé par Kerberos, OAuthSD utilise l’authentification Kerberos de sorte que l’utilisateur ayant initié une session locale (avec Active Directory s’agissant du système Windows) n’a pas à s’identifier à nouveau pour accéder aux application clientes du serveur OAuthSD.

• OAuth Server by DnC permet d’ajouter aux données utilisateur (claims), prévues par la norme OpenID Connect, des données supplémentaires correspondant aux processus métiers. On peut par exemple transmettre aux applications SaaS les paramètres relatifs aux abonnements des souscripteurs, comme illustré dans cet article : SaaS et OIDC : un mariage réussi grâce à OAuthSD !.

 OAuthSD complète le noyau OAuth2 :

• Pour permettre aux serveurs de données protégées de valider les jetons d’accès et d’identité soit par introspection), soit en fournissant les informations sur les clés publiques associées aux applications.

• En intégrant les meilleures méthodes d’identification de l’utilisateur final à l’origine de l’autorisation pour assurer la fonction d’authentification, y compris en intégrant un éventuel système d’identification existant dans l’organisation.

• Pour renforcer l’identification des applications afin de protéger des malwares l’accès aux données protégées.

• En offrant la possibilité de moduler les portées d’autorisation en fonction de l’application cliente et de l’utilisateur final, une fonctionnalité exceptionnellement intéressante d’OpenID Connect. Voir : Définition des scopes OIDC et généralités sur leur utilisation par les applications.

• En offrant une API HTTP REST + TreeQL permettant d’intégrer OAuthSD dans un système de gestion des utilisateurs et des applications ainsi que la définition des privilèges.

 OAuthSD offre un interface d’exploitation et une documentation

• Un interface utilisateur convivial (comme sur ce site web) permet de configurer le serveur et offre une documentation détaillée pour sa mise en œuvre ainsi que pour l’adaptation de vos applications.

• Des dizaines d’événements différents sont suivis à la microseconde et sont présentés dans des graphes et tableaux interactifs permettant d’identifier avec précision les erreurs et les anomalies significatives d’abus ou de tentative d’intrusion.

• L’administrateur du serveur est alerté par e-mail des tentatives d’intrusion et des utilisations abusives.

• Un rôle d’Administrateur d’applications s’ajoute aux rôles définis par la norme : ceux-ci créent et gèrent sur ce serveur les applications clientes dont ils délèguent l’authentification, et dont ils sont donc propriétaires. Ils peuvent également documenter sur le site web du serveur les aspects particuliers du processus d’authentification de leurs applications (ils sont Auteurs au sens de SPIP).

• Le modèle d’application est étendu avec des données qui permettront de gagner la confiance de l’utilisateur en l’informant avec précision sur l’identité de l’administrateur de l’application, le fonctionnement de l’application et l’utilisation des données personnelles.

• Les portées de l’autorisation (Scopes) sont explicitées, afin que l’utilisateur final puisse les approuver en toute connaissance de cause.

• Alors que le paramètre State est facultatif dans la définition du protocole OAuth, ce paramètre est obligatoire pour OAuthSD afin de renforcer la sécurité.

• Lors de la procédure d’autorisation, le mot de passe de l’utilisateur final n’est pas entré au clavier, mais à la souris dans une grille aléatoire (GhostKeys). Ainsi, les mots de passe n’ont pas d’existence physique, sont cryptés dès la saisie, et ne peuvent donc être interceptés par un pourriciel. Mieux encore : avec NoPassConnect, il n’y a plus de mot de passe !

Avec OAuthSD, les mot de passe ne peuvent être interceptés au moment de leur saisie, ne circulent pas sur Internet, ne sont enregistrés nulle part !

L’engagement d’i-Tego à ne pas divulguer les données est un moyen pour les entreprises de se protéger de la concurrence. C’est aussi un avantage concurrentiel que les entreprises peuvent faire valoir auprès de leur clients et utilisateurs finaux.

Pour entrer rapidement dans le sujet, voyez :
 SLI, SSO, SLO et SRA sont dans un bateau : OAuthSD,
 Exemples complets du flux d’Autorisation,
 OpenID Connect : Lier une application cliente au serveur OAuthSD.

Pour tester le serveur OAuthSD avec vos applications :
 Inscrivez-vous comme auteur d’applications
 Lier une application cliente au serveur OAuthSD

2021 : OAuthSD v2

A l’origine en 2016, il s’est agit de créer un serveur OIDC en encapsulant l’API oauth2-server-php dans un peu de code pour créer trois contrôleurs : Authorize, Token et Resource. Il fallait également intégrer au contrôleur Authorize des méthodes d’identification avancées multifacteurs.

Depuis, la surcouche oauthsd-core-php a pris beaucoup d’extension visant à renforcer la sécurité de l’authentification. En même temps, beaucoup de fonctionnalités d’OAuth 2.0 et d’OpenID Connect, omises dans l’API, ont impliqué de nouveaux développements.

De plus, certaines extensions d’OIDC (par exemple l’introspection) avaient été développées dans la surcouche, l’idée initiale étant de conserver l’API oauth2-server-php inchangée. Nous comptions alors sur le fait que cette API se développerait, ce qui n’a pas été le cas.

Enfin, nous avions pris le parti de distinguer les contrôleurs OAuth 2.0 et les contrôleurs OIDC, ce qui créait confusion et doublons.

Le code de la surcouche oauthsd-core-php était devenu abondant, dense et peu lisible.

Il est donc apparu nécessaire de réécrire le code :

 L’application de la programmation orientée objets (OOP) a permis d’améliorer la lisibilité de la surcouche. On a également obtenu une meilleure vitesse de traitement, le temps de réponse étant réduit d’un facteur deux à cinq. Comme toujours s’agissant d’OOP, le gain de vitesse est obtenu au prix d’une augmentation de la mémoire utilisée. Notons que nous n’avons toujours pas utilisé de framework PHP, car l’expérience montre une dégradation inacceptable des performances et une utilisation prohibitive de la mémoire du serveur.

 La création d’un objet "Identification" facilite grandement la création de nouvelles méthodes d’identification de l’utilisateur ou l’intégration d’OAuthSD dans un système d’identité existant.

 Il est apparu que la distinction entre deux groupes de points d’entrée spécifiques pour OAuth 2.0 et OpenID Connect était inutilement complexe et redondante. Il n’y a maintenant qu’un seul jeu, composé des points d’entrée d’OIDC et de trois flux spécifiques d’OAuth 2.0. Le contrôleur Authorize fonctionne aussi bien selon OAuth2.0 et OIDC, en distinguant les appels OIDC avec la portée demandée ’openid’. Autre exemple, le contrôleur Introspect permet de valider aussi bien des jetons d’accès que des jetons d’identité signés (JWS) et meme des jetons encryptés (JWE)..

 Un fork de l’API a été développé. Des fonctions auparavant développées dans la surcouche ont trouvé leur place naturelle dans l’API : l’introspection, les JWT cryptés (JWE), l’insertion de nouvelles déclarations dans le JWT (kid, acr), le traitement de la "Clé de vérification pour l’échange de code (PKCE)". Le contrôleur Resource a été amélioré et des petits ajustements ont été apportés sans s’imposer de restriction.

 Un soin particulier a été apporté au traitement de la "Référence de classe de contexte d’authentification (ACR)", qui avait été omis de l’API. Cette fonctionnalité est fondamentale s’agissant de mettre en œuvre des pourvoyeur d’identification de niveau de sécurité différents. Chaque application peut alors exiger un niveau de sécurité minimum et rejeter des identifications insuffisamment sécurisées.

 Le paramètre "max_age", qui avait été omis de l’API, est maintenant traité.

 OAuthSD implémente maintenant le paramètre ’request’ sous sa forme JWT non signé et passé par valeur (ainsi que le prévoit le test de certification de l’OIDF). Cela répond à une recommandation de L’ANSSI.

 Les commentaires dans le code ont été abondamment développés, avec de nombreuses références, afin d’offrir aux développeurs une bonne compréhension de mécanismes souvent très complexes. C’est écrit en anglais, nous sommes à la disposition des utilisateurs pour les aider au besoin.
La documentation sera refondue en conséquence. OIDC étant construit sur OAuth 2.0, l’idée directrice est que l’approche "par le haut" depuis OIDC simplifie considérablement la compréhension. D’autres penseront que OAuth 2.0 intègre les fonctionnalités d’OIDC, et qu’il est donc inutile d’en parler...
Commentaires détaillés et documentation abondante nous permettent de justifier pleinement la qualité de notre offre de transfert de compétence.

 Les tests OIDF Conformance ont évolué, OAuthSD aussi, de nouveaux tests ont été effectués. Voyez : https://oa.dnc.global/web/-Tests-et.... Le résultat des tests est visible en ligne.

Dans le contexte du COVID-19, le télétravail conduit de nombreux employés à accéder au réseau de leur entreprise au moyen d’un tunnel VPN à partir de l’ordinateur personnel ou - horreur absolue - l’ordinateur familial. Il convient d’effectuer des contrôles à ce niveau.

Principes du ZTNA

Il s’agit de protéger le système d’information (SI) et les données sensibles en partant du principe que l’on ne doit faire confiance à rien ni personne. Du matériel de l’utilisateur jusqu’à l’application, trois principes généraux s’appliquent :

1. Contrôle des matériels utilisés pour accéder au SI : Le seul contrôle de l’utilisateur final n’est pas suffisant, il convient de contrôler également l’agent utilisateur au moyen duquel il accède au réseau et aux applications, ainsi que son matériel.
Notons que cette formulation suppose que l’application se trouve du côté du réseau local (application avec back-end). C’est donc une application bien identifiée, digne de confiance. Ce n’est pas le cas des applications fonctionnant sur des stations de travail ou des agents utilisateur distants. Il faudrait donc inclure l’authentification des logiciels dans ce premier principe.

2. Authentification multi-facteurs : l’authentification (à deux facteurs au moins, ou Two Factors Authentication, TFA) exige plusieurs preuves d’identité de l’utilisateur final.

3. Privilège minimum : Ne donner aux utilisateurs que l’accès aux ressources ou données dont ils ont besoin pour effectuer leurs tâches.

Est-ce vraiment nouveau ? Est-ce vraiment suffisant ?

De façon générale, on assure une sécurité périmétrique à l’aide d’un pare-feu et de mesures de protection afin d’empêcher les intrusions. Constatant l’absence de mesures de protection lorsque les intrus parviennent à franchir le périmètre, ZTNA semble proposer d’accepter le réseau tel qu’il est et de reporter la défense au niveau applicatif. Ce serait une erreur de négliger le réseau : par exemple, si l’accès aux fonctionnalités d’administration de la base de données (avec une console SSH) est mal protégé, il ne sera pas suffisant de protéger l’accès à l’application.
En 2004, le Jericho Forum introduisait le concept de dépérimétrisation, une stratégie de sécurité qui consiste à compléter la « limite » de sécurité standard séparant un réseau de l’Internet et à créer à la place un système de sécurité segmenté et multicouche basé sur le chiffrement et l’authentification.

Comment se situe OpenID Connect ?

1. OpenID Connect intervient au niveau des applications. OIDC ne peut donc se substituer aux moyens d’identifier et de contrôler les couches matérielles. Cependant, le flux d’autorisation avec code (Authorization Code Grant), lorsqu’il est appliqué à des applications et services "avec back-end", offre un moyen d’identifier ces composants au niveau matériel. Sur ce sujet, voyez : Vérification de l’origine de la requête reçue par un serveur de ressource.

2. L’identification multi-facteurs ne fait pas partie de la norme OpenID Connect. La couche identification du contrôleur Authorize se doit d’implémenter plusieurs moyens d’identification, OAuthSD assure l’identification multi-facteurs.

3. En permettant de véhiculer par le jeton d’identité (ID Token) des informations d’identité et de privilèges et d’en garantir l’intégrité au moyen de la signature du jeton, OpenID Connect ouvre un moyen de contrôler les accès aux applications et aux données. OAuthSD permet la transmission des privilèges.
Cependant, tout dépend de ce que les applications et les ressources protégées feront de ces informations.

Avertissement : Il est important de noter que OpenID Connect, comme toute autre système d’authentification, n’assure pas la sécurité des applications ou des services de données, mais leur fournit des informations plus complètes et plus fiables sur l’utilisateur final que des méthodes d’identification plus simples. D’une part la sécurité dépendra de ce que les applications et services font de ces informations, d’autre part de leur sécurité intrinsèque ainsi que de celle du réseau.

En conclusion :

Le principe ZTNA nous invite à compléter les protections du niveau réseau (VPN, firewall, proxy) en authentifiant les applications et les personnes. Le principe de dépérimétrisation nous invite à appliquer les barrières dans la profondeur du réseau et à chiffrer au niveau applicatif.

OpenID Connect étend la sécurité au niveau applicatif (dans la couche haute du modèle de l’OSI) et trouve donc sa place dans une approche ZTNA complète.

La difficulté d’OIDC réside dans la nécessité d’adapter les applications et les ressources de données protégées en leur incorporant un module OIDC. Voyez : Adaptation des applications.

Perspectives pour l’évolution d’OAuthSD

L’identification et le contrôle d’intégrité du matériel ainsi que des logiciels applicatifs et système est encore le parent pauvre des solutions de sécurité.

Notons que le serveur OAuthSD intègre déjà quelques fonctionnalités de sécurité au niveau des couches matérielles et transport, et en apportera de plus en plus au fur et à mesure de son développement.

Position du problème

La plupart des système SaaS intègrent l’application et le système de vente dans un même logiciel.

Si différentes applications web doivent être diffusées en mode SaaS par une même entité, le premier problème à résoudre consiste à assurer le service de connexion unique (SSO) entre le système de vente et les différentes applications, sans oublier les sites support tels que la plateforme CRM et les sites de communauté. Pas de problème, c’est le rôle d’un serveur OIDC, OAuthSD fait cela très bien.

Le deuxième problème, plus intéressant, consiste à transmettre des informations du système de vente vers les applications.
S’agissant de la validité de l’abonnement et des options (payantes), il faut sécuriser ces données, c’est à dire permettre à l’application destinataire de contrôler :
 l’intégrité (les données n’ont pas été falsifiées),
 l’authenticité de leur origine (elles ont bien été délivrées par le système SaaS),
 l’actualité (ce sont bien des données valides à l’instant considéré),
 la destination (ce sont bien des données relatives à cette application),
 et bien sûr l’identité de l’utilisateur final (ce n’est pas un intrus qui utilise l’application).

La solution : OAuthSD

OAuthSD permet d’intégrer les données SaaS sous forme de déclarations supplémentaires dans la charge utile du jeton JWT. Il suffira à l’application destinataire (cliente du serveur OIDC) de valider le jeton d’identité par introspection (et non localement afin d’assurer l’actualité) pour réaliser en une seule opération les contrôles décrits ci-dessus.

Le système i-Tego SaaS et l’une de ses applications NSS Lite illustrent parfaitement cette technique.

Pour réaliser cela, nous avons :
 intégré dans une même application le serveur OIDC et le système de vente,
 développé des plugin d’extension OIDC-SaaS notamment pour des applications fondées sur SPIP ou Wordpress .

Le flux des échanges est le suivant :
1 : l’utilisateur s’inscrit sur le système SaaS et souscrit un abonnement.
2 : Il se connecte depuis une application cliente du système SaaS.
3 : Le serveur d’authentification adresse à l’application cliente un jeton JWT signé dont la charge utile a été complétée avec :
 les données relatives à l’abonnement, en particulier sa date de fin,
 les droits de l’utilisateur sur l’application,
 les options souscrites.

Rappelons que, selon le protocole OpenID Connect :
 le jeton adresse également les portées de l’autorisation (claims) donnant les droits de l’application sur les données de l’utilisateur.
 le serveur d’authentification agit comme un service d’inscription et de connection unique (Single Sign On, SSO) . Ainsi, l’utilisateur connecté à une application cliente SaaS est également connecté aux autres applications pour lesquelles il a souscrit un abonnement

Notre offre de services

Nous serions heureux de pouvoir assister les PME pour leur permettre de développer leur propre système de SaaS et d’adapter leurs applications web.
Notre positionnement de conseil et d’assistance permettrait un développement indépendant de prestataires extérieurs coûteux. Et de systèmes tiers hasardeux en termes de sécurité : pourquoi nourrir le big-data au profit de vos concurrents ?

Administrateur (d’applications), Auteur (propriétaire d’applications)

Un développeur ou un propriétaire de sites Web, utilisateur privilégié, notamment propriétaire d’une ou plusieurs applications clientes qu’il a inscrites sur ce serveur en vue de déléguer les authentifications.
Notes :
 cette notion est propre au serveur OAuthSD de DnC.
 il s’agit également d’un objet Auteur au sens de SPIP.

Autorisation

Requête de la part d’une application cliente vers :
 soit une personne (utilisateur final) à qui il est demandé d’autoriser ou de refuser l’accès à une ressource.
 soit une machine dans le cas de l’autorisation serveur à serveur.

Client, Application cliente

Un Client est une application inscrite sur ce serveur par un administrateur. Plutôt que de réaliser elle-même l’authentification des utilisateurs, l’application cliente délègue cette action au serveur OAuth. Cela permet également d’autoriser l’accès aux ressources protégées appelées par cette application.
Dans le contexte OpenID, un client est dénommé Relying Party (RP).

Diagramme de Flux (Flow Chart), Flux d’Autorisation (Grant Flow)

Représentation graphique de la séquence des échanges entre les Rôles. Il existe un Diagramme de Flux distinct pour chacun des 4 types d’Autorisation ou Flux.

Type d’Autorisation (Grant Type)

OAuthSD prend en charge plusieurs types d’autorisation, qui sont des méthodes permettant d’obtenir des jetons d’accès (valeurs de chaîne représentant les autorisations accordées). Différents types d’autorisation autorisent différents types d’accès et, en fonction des besoins de votre application et la nature des ressources, certains types d’autorisation sont plus appropriés que d’autres. Mais attention : tous ne sont pas parfaitement sécurisés !

Jeton (Token)

Le jeton est une chaine de caractères générée par le serveur d’autorisation. Il est émis en réponse à une demande de l’application cliente.

Dans le cadre de OAuth 2.0, on distingue 2 types de jetons :

 Le jeton d’accès (Access Token) : Permet au serveur d’une ressource protégée d’autoriser une application cliente à y accéder. Ce jeton est envoyé par l’application cliente en tant que paramètre ou en tant que header dans la requête vers le serveur de ressources. Il a une durée de vie limitée qui est définie par le serveur d’autorisation.

 Le jeton de renouvellement (Refresh Token ) : Utilisé pour demander de prolonger l’accès à une ressource ; envoyé sur demande d’une application qui détient déjà un jeton d’accès valide.

Le protocole OpenID Connect ajoute :
 Le jeton d’identité (ID Token). De type JSON Web Token, ce jeton transporte des données relatives à l’authentification : application cliente, identité et profil de l’utilisateur final, étendue de l’autorisation. Étant crypté et signé, il offre un moyen sûr de transmettre aux ressources protégées des informations fiables sur l’authentification : utilisateur final, application, portée de l’autorisation.

Rôles

Les protocoles d’authentification de OAuth définissent les échanges entre 4 rôles :

 Le détenteur des données (Ressource Owner) : une ressource matérielle, ou une personne (Utilisateur Final), qui autorise l’accès à une ressource protégée.

 Le serveur de ressources (Ressource Server, RS) : serveur qui héberge les ressources protégées, et répond aux demandes d’accès aux ressources protégées selon le jeton d’accès (Access Token) ou d’identité (ID Token).
Dans le contexte OpenID, le serveur de ressource peut recevoir un jeton d’identité (ID Token) lui permettant d’authentifier l’utilisateur, l’application cliente et les autorisations exprimées par les portés d’autorisation (scopes).

 Le Client ou l’Application Cliente (Client, Client Application) : application demandant des ressources protégées au nom du propriétaire de celles-ci et avec son autorisation. Le client est inscrit sur le serveur d’autorisation par un administrateur d’application qui en configure les caractéristiques.
Dans le contexte OpenID, un client est dénommé Relying Party (RP) ou partie de confiance.

 Le Serveur d’autorisation (Authorization Server, AS) : serveur qui délivre des jetons d’accès (Access Token) au client après que le propriétaire de la ressource a été formellement authentifié et qu’il a obtenu une autorisation de sa part.

Dans le contexte OpenID, le serveur d’autorisation délivre un jeton d’identification (ID token) en réponse à une demande d’authentification, ce qui justifie la dénomination OpenID Provider (OP ou IdP).

Etendue (ou portée) de l’autorisation (Scope)

Les Scopes définissent l’étendue des droits ( les actions permises sur les données de la ressource ) attachés au token d’accès. La liste des Scopes disponibles est définie par l’Auteur pour chacune de ses applications clientes du côté du serveur d’autorisation. La signification d’un scope dépend exclusivement de ce que le serveur de ressources protégées en fait (ou n’en fait pas), le serveur d’autorisation étant transparent à cet égard.

Ressource protégée

D’une façon générale, tout type de ressource capable de produire des données et dont l’accès est contrôlé.
En particulier, un serveur de ressources (Ressource Server, RS) est un serveur qui héberge les ressources protégées, et répond aux demandes d’accès aux ressources protégées selon le jeton d’accès (Access Token) ou d’identité (ID Token).
Dans le contexte OpenID, le serveur de ressource peut recevoir un jeton d’identité (ID Token) lui permettant d’authentifier l’utilisateur, l’application cliente et les autorisations exprimées par les portés d’autorisation (scopes).

URI de redirection (Redirect URI)

Une URI absolue de l’application cliente à laquelle le serveur redirige l’user-agent de l’utilisateur final à la suite du processus d’authentification, et à laquelle il adresse le résultat.

Utilisateur, utilisateur final (End User)

Internaute répondant aux requêtes d’authentification. Ses identifiants sont inscrits sur le serveur d’authentification (et non du côté des applications clientes).

Avertissement

Avertissement 1 : Il est important de noter que OpenID Connect, comme toute autre système d’authentification, n’assure pas la sécurité des applications ou des services de données, mais leur fournit des informations plus complètes et plus fiables sur l’utilisateur final que des méthodes d’identification plus simples. D’une part la sécurité dépendra de ce que les applications et services font de ces informations, d’autre part de leur sécurité intrinsèque ainsi que de celle du réseau.

Avertissement 2 : Ce site un démonstrateur et un outil de développement, il peut être indisponible et les données enregistrées effacées à tout moment.

Cette application est un prototype en développement. Elle est destinée à permettre aux développeurs de tester OAuthSD dans leurs applications clientes et leurs serveurs de ressources protégées. Toute utilisation se fait aux risques et périls de l’utilisateur.

La documentation est également en devenir constant et ne saurait remplacer les documents auxquels elle fait référence.

L’utilisateur est averti des différences pouvant exister entre le serveur OAuthSD et les spécifications d’OpenID Connect : toutes les fonctionnalités ne sont pas nécessairement implémentées par OAuthSD ou ne le sont pas encore, certaines spécifications sont encore à l’état de proposition, certaines fonctionnalités sont jugées peu utiles ou peu sécurisées. De plus, OAuthSD offre quelques extensions intéressantes qui, sans aller à l’encontre du standard, n’en font pas partie. Enfin, OAuthSD est destiné à être mis en œuvre dans le cadre fermé que constitue un ensemble d’applications d’une même entité ce qui autorise une certaine liberté par rapport aux spécifications.

i-Tego ou DnC n’offrent aucune garantie et nient toute responsabilité pour quelque dommage que ce soit résultant de l’application ou de la documentation.

Droits

Le serveur OAuthSD et le contenu de ce site sont issus de l’ex SARL DnC. Bertrand Degoy (bertrand@dnc.global) en est l’unique auteur.

L’ensemble de ce site relève de la législation française et internationale sur le droit d’auteur et la propriété intellectuelle. Tous les droits de reproduction sont réservés, y compris pour les documents téléchargeables et les représentations iconographiques et photographiques.

L’éditeur revendique les droits d’auteur sur la totalité des textes de ce site, hormis les traductions qui cherchent à coller au plus près du texte original indiqué en référence. En revanche, l’éditeur revendique les droits liés à la traduction.

Politique de diffusion du code

L’objectif est double :
 1. Protéger le code spécifiquement créé et la configuration du serveur OAuthSD afin de rendre plus difficile la tâche des criminels ou malveillants. Pour cela, le code figurant notamment dans les répertoires /vendor/bdegoy/oauthsd-php/src/... est crypté et n’est pas open source mais soumis à une licence particulière.
 2. Diffuser le plus possible d’information et de code source pour permettre à quiconque d’intégrer dans ses applications la délégation d’authentification et la protection des ressources avec le serveur OAuthSD. Pour cela tout le reste du code, non présent dans les répertoires mentionnés ci-dessus, est diffusé sous licence GPLv3 ou une autre licence Open Source indiquée dans le code, notamment celui en provenance d’autre développeurs.

Cette politique s’applique aussi bien au code présent sur le serveur sous-jacent au présent site web qu’au code déployé chez les utilisateurs d’OAuthSD.

Informations sur l’éditeur

 Editeur du site : Bertrand Degoy
 Contact : e-mail : bertrand@degoy.com
 Hébergement sur serveur privé loué à OVH SAS, 2 rue Kellermann - 59100 Roubaix France.
 Responsable de la rédaction : L’éditeur du site.

Informatique et libertés

RGPD : Dans l’état actuel du développement, ce site n’enregistre aucune donnée personnelle de façon permanente (les données entrées par les auteurs et les utilisateurs sont effacées régulièrement et sont supposées fictives) et ne nécessite pas de déclaration à la CNIL. Nous n’effectuons aucun traitement sur ces données autre que les sauvegardes et ne les diffusons pas.

Cookie  : Nous souhaitons implanter un cookie de durée de vie limitée dans votre ordinateur. Ce cookie ne nous permet pas de vous identifier ; il n’enregistre aucune information personnelle ou relative à la navigation de votre ordinateur sur notre site, mais simplement un code aléatoire permettant de gérer la continuité de la navigation dans le site (session). Notez que ce type de cookie ne requiert pas votre consentement préalable, car ce n’est pas un "cookie de tracking" mais un "cookie essentiel". Nous vous informons qu’il vous appartient de vous opposer à l’enregistrement de cookies en configurant votre navigateur. Cependant, cela provoquera des dysfonctionnements.