ASFWS 2011 : CAS, OpenID, SAML concepts, différences et exemples
Signaler
Cyber Security AllianceSuivre
31 Oct 2011•0 j'aime•1,728 vues
ASFWS 2011 : CAS, OpenID, SAML concepts, différences et exemples
31 Oct 2011•0 j'aime•1,728 vues
Télécharger pour lire hors ligne
Signaler
Technologie
Avec la multiplication des applications Web, la question de l’authentification à ces applications est devenue primordiale. Pour simplifier la vie de l’utilisateur, le concept de SSO (Single Sign On) a été inventé. Dans ce domaine, plusieurs protocoles et standards existent, comme CAS, OpenID, Liberty Alliance, Shibboleth ou SAML. Quelles sont les différences ? Comment utiliser ces protocoles dans les applications ? Cette conférence tentera de répondre à ces questions en présentant des cas concrets d’implémentation. Application Security Forum 2011 27.10.2011 - Yverdon-les-Bains (Suisse) Conférencier: Clément Oudot
Cyber Security AllianceSuivre
Recommandé
CAS, OpenID, Shibboleth, SAML : concepts, différences et exemplesClément OUDOT
CAS, OpenID, SAML : concepts, différences et exemplesClément OUDOT
Vous avez dit protocoles Web d'authentification et d'autorisation ! De quoi p...Philippe Beraud
Sso fédérationPascal Flamand
SAML, Open ID et CAS dans un seul WebSSO : LemonLDAP::NGClément OUDOT
LemonLDAP::NG, un WebSSO libreClément OUDOT
Contenu connexe
Tendances
Sécuriser ses ap is avec oauth2 jug montpellier 16 avril 2014Damien Boissin
Présentation Oauth OpenIDPascal Flamand
S2LQ - Authentification unique sur le Web avec le logiciel libre LemonLDAP::NGClément OUDOT
ASFWS 2012 - OAuth : un protocole d’autorisation qui authentifie ? par Maxime...Cyber Security Alliance
Paris Web 2015 - France Connect et OpenId ConnectFrançois Petitit
LTO AuthODC Orange Developer Center
En vedette
PACE-IT: Network Access ControlPace IT at Edmonds Community College
Clusif 2014 scada panorama des referentiels sécurité système information ind...echangeurba
2014 NAC candidate orientation presentation MedCouncilCan
Network Access Control as a Network Security SolutionConor Ryan
Physical/Network Access Controljwpiccininni
Fédération d'identité, séminaire du 27 novembre 2014e-Xpert Solutions SA
Similaire à ASFWS 2011 : CAS, OpenID, SAML concepts, différences et exemples
LemonLDAP::NG et le support SAML2 (RMLL 2010)Clément OUDOT
Guide d’architecture pour le support de la fédération d’identité dans une app...Gregory Haik
Fédération des identités avec FederIDLINAGORA
![[Identity Days 2019] Maîtrisez les accès à vos applications Web (Cloud et On...](https://cdn.slidesharecdn.com/ss_thumbnails/pre-identitydays2019-lemonldapng-191024143758-thumbnail.jpg?width=384&height=256&fit=bounds)
[Identity Days 2019] Maîtrisez les accès à vos applications Web (Cloud et On...Worteks
Introduction oauth 2.0 et openid connect 1.0Marc-André Tousignant
(Azure) Active Directory + BYOD = tranquillité d’esprit, chiche ! (2nde Partie)Microsoft Décideurs IT
![[Identity Days 2019] Maîtrisez les accès à vos applications Web (Cloud et On...](https://cdn.slidesharecdn.com/ss_thumbnails/pre-identitydays2019-lemonldapng-191024143758-thumbnail.jpg?width=1600&height=908&fit=bounds)
Plus de Cyber Security Alliance
Bug Bounty @ SwisscomCyber Security Alliance
Robots are among us, but who takes responsibility?Cyber Security Alliance
iOS malware: what's the risk and how to reduce itCyber Security Alliance
Why huntung IoC fails at protecting against targeted attacksCyber Security Alliance
Corporations - the new victims of targeted ransomwareCyber Security Alliance
Blockchain for Beginners Cyber Security Alliance
ASFWS 2011 : CAS, OpenID, SAML concepts, différences et exemples
- 7. OpenID
- 9. WebSSO, contrôle d'accès et fédération d'identité
- 11. Intérêt du WebSSO : éviter la multiplication des identités
- 12. Utilisateur Application Web Portail WebSSO Cinématique simple 1 2 3
- 14. Des groupes
- 16. Plusieurs modèles existent, le principal étant RBAC (Role Based Access Control)
- 17. Le protocole XACML permet de déléguer les demandes d'habilitations à des points de décision (PDP)
- 19. L'utilisateur qui possède plusieurs identités numériques peut les fédérer au sein d'un cercle de confiance
- 20. Le résultat visible est l'accès transparent aux fournisseurs de service, mais d'autres avantages existent, comme la déconnexion unique (SLO)
- 21. Cercle de confiance Fournisseur de service Fournisseur d'identité Fournisseur de service Fournisseur d'attribut
- 22. Protocoles
- 24. Documentation du protocole pour 1.0 et 2.0
- 25. Utilisation de tickets de service dans l'URL, avec validation par un lien dorsal
- 26. Possibilité de tickets proxy
- 27. Pas de partage d'attributs
- 28. Cinématique CAS 1. Premier accès à l'application Serveur CAS Application « CASsifiée » 2. Authentification sur CAS et récupération d'un ticket 3. Transmission du ticket 4. Validation du ticket et récupération de l'identifiant
- 32. Aussi basé sur les redirections HTTP
- 33. Permet le partage d'attributs (mais plusieurs normes possibles...)
- 34. Pas de notion de cercle de confiance
- 35. Cinématique OpenID 1. Premier accès à l'application Serveur OpenID Site Web 3. Authentification sur le serveur OpenID choisi par l'utilisateur 4. Réponse OpenID 5. Validation de la réponse (facultatif) Serveur OpenID Serveur OpenID 2. Récupération d'informations OpenID
- 40. Cercle de confiance : enregistrement préalable des fournisseurs de services et des fournisseurs d'identités
- 41. Plusieurs méthodes : GET / POST / Artefact GET / Artefact POST
- 42. Gestion de conditions, contextes d'authentification, ...
- 43. SAML, gloire et beauté SAML 1.0 WS-* ID-FF 1.2 ID-WSF 1.2 Shibboleth 1 SAML 2.0 ID-WSF 2.0
- 44. Cinématique SAML 2.0 1. Premier accès à l'application IDP SAML SP SAML 2. Authentification sur le serveur SAML choisi par l'utilisateur et autorisé dans le cercle de confiance 3. Réponse SAML IDP SAML IDP SAML
- 45. Requête SAML <samlp:AuthnRequest xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol" xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion" ID="_d7607d551380ac97853a6ff4907c4ef01219be97dd" Version="2.0" IssueInstant="2008-05-27T07:46:06Z" ForceAuthn="true" IsPassive="false" Destination="https://openidp.feide.no/simplesaml/saml2/idp/SSOService.php" ProtocolBinding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" AssertionConsumerServiceURL="http://dev.andreas.feide.no/simplesaml/saml2/sp/AssertionConsumerService.php"> <saml:Issuer>http://dev.andreas.feide.no/simplesaml/saml2/sp/metadata.php</saml:Issuer> <samlp:NameIDPolicy Format="urn:oasis:names:tc:SAML:2.0:nameid-format:transient" AllowCreate="true"/> </samlp:AuthnRequest>
- 46. Réponse SAML <?xml version="1.0"?> <samlp:Response xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol" xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion" xmlns:xs="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" ID="_162f441d28cff78e3bb1d3c2bf3e48b5ed532605fd" InResponseTo="_ae0216740b5baa4b13c79ffdb2baa82572788fd9a3" Version="2.0" IssueInstant="2008-05-27T07:49:23Z" Destination="https://foodle.feide.no/simplesaml/saml2/sp/AssertionConsumerService.php"> <saml:Issuer xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion">https://openidp.feide.no</saml:Issuer> <samlp:Status xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol"> <samlp:StatusCode xmlns:samlp="urn:oasis:names:tc:SAML:2.0:protocol" Value="urn:oasis:names:tc:SAML:2.0: status:Success "/> </samlp:Status> <saml:Assertion Version="2.0" ID="pfxb27555d8-8c06-a339-c7ae-f544b2fd1507" IssueInstant="2008-05-27T07:49:23Z"> <saml:Issuer>https://openidp.feide.no</saml:Issuer> <ds:Signature xmlns:ds="http://www.w3.org/2000/09/xmldsig#"> <ds:SignedInfo> <ds:CanonicalizationMethod Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#"/> <ds:SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1"/> <ds:Reference URI="#pfxb27555d8-8c06-a339-c7ae-f544b2fd1507"> <ds:Transforms> <ds:Transform Algorithm="http://www.w3.org/2000/09/xmldsig#enveloped-signature"/> <ds:Transform Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#"/> </ds:Transforms> <ds:DigestMethod Algorithm="http://www.w3.org/2000/09/xmldsig#sha1"/> <ds:DigestValue>WUaqPW4nZ8uPyv+sf8qXsaKhHmk=</ds:DigestValue> </ds:Reference> </ds:SignedInfo> <ds:SignatureValue>CRq1VvptjNHenZ5aWkyD6GqQX+XLgNiqElJnyLbMUgiwrFZ5J8IEGtC8h2YiwID15ScxVt6tjQc8R3gXkP967PIlemmhYQ4US7V3oPczu4MECamj+07wAg7BCp05UVU3RI3pvi/2dQGRRX4tlXgkzUMzx8+cBeyZaI/BXKjhKEY=</ds:SignatureValue> <ds:KeyInfo> <ds:X509Data> <ds:X509Certificate>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</ds:X509Certificate> </ds:X509Data> </ds:KeyInfo> </ds:Signature> <saml:Subject> <saml:NameID Format="urn:oasis:names:tc:SAML:2.0:nameid-format:transient" SPNameQualifier="urn:mace:feide.no:services:no.feide.foodle" >_242f88493449e639aab95dd9b92b1d04234ab84fd8</saml:NameID> <saml:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer"> <saml:SubjectConfirmationData NotOnOrAfter="2008-05-27T07:54:23Z" InResponseTo="_ae0216740b5baa4b13c79ffdb2baa82572788fd9a3" Recipient="https://foodle.feide.no/simplesaml/saml2/sp/AssertionConsumerService.php" /> </saml:SubjectConfirmation> </saml:Subject> <saml:Conditions NotBefore="2008-05-27T07:48:53Z" NotOnOrAfter="2008-05-27T07:54:23Z"> <saml:AudienceRestriction> <saml:Audience>urn:mace:feide.no:services:no.feide.foodle</saml:Audience> </saml:AudienceRestriction> </saml:Conditions> <saml:AuthnStatement AuthnInstant="2008-05-27T07:49:23Z" SessionIndex="_4f39c931b35a8dd4540b0a6929a361fa134ec8f7b5"> <saml:AuthnContext> <saml:AuthnContextClassRef>urn:oasis:names:tc:SAML:2.0:ac:classes:Password</saml:AuthnContextClassRef> </saml:AuthnContext> </saml:AuthnStatement> </saml:Assertion> </samlp:Response>
- 47. Que choisir ?
- 50. OpenSSO / OpenAM : IDP / SP en Java
- 51. LemonLDAP::NG : IDP / SP en Perl basé sur Lasso pour la gestion de SAML 2.0
- 52. SimpleSAMLPHP : IDP / SP en PHP
- 53. Shibboleth 2 : IDP / SP en Java