Przepraszam, czy można?

Uwierzytelnianie i autoryzacja to tematy ściśle ze sobą powiązane, ale nie tożsame. Uwierzytelnianie jest problemem technicznym i można go rozwiązać za pomocą gotowych protokołów (OpenID Connect, SAML) i produktów (Auth0, IdentityServer). Natura autoryzacji jest nieco inna: to aspekt często żyjący na pograniczu infrastruktury i logiki domenowej.

Jeżeli chcecie się dowiedzieć jakie możliwości w dziedzinie kontroli dostępu daje wam ASP.NET Core i jak w rozsądny sposób wpleść to w logikę waszej aplikacji, to ta prezentacja z całą pewnością jest dla was.

Transcript

1. auth0.com Przepraszam, czy można? Autoryzacja w ASP.NET Core @marcin_hoppe
2. auth0.com Sansa Stark, Pracownik Jon Snow, Użytkownik Arya Stark, Anonim Przepraszam, czy można? Game of Reviews
3. auth0.com Garść wymagań biznesowych Przeglądanie recenzji: • Każdy może przeglądać dowolne produkty i ich recenzje Zarządzanie produktami: • Jedynie pracownicy mogą dodawać produkty ◦ Oczywiście, pracownicy muszą być zalogowani Przepraszam, czy można?
4. auth0.com Wymagań biznesowych ciąg dalszy Dodawanie recenzji: • Jedynie zalogowani użytkownicy mogą dodawać recenzje do produktów • Użytkownicy mogą usuwać jedynie swoje recenzje Moderowanie recenzji: • Pracownicy mogą usuwać dowolne recenzje ◦ Czy oznacza to, że pracownicy mogą usuwać swoje recenzje? Przepraszam, czy można?
5. auth0.com Przepraszam, czy można? Często mylone pojęcia Uwierzytelnianie Autoryzacja Czy użytkownik jest tym, za kogo się podaje? Czy użytkownik może wykonać daną akcję? System prosi użytkownika o poświadczenie swojej tożsamości System udziela dostępu na podstawie reguł i polityk Musi nastąpić przed autoryzacją Przeprowadzana dopiero po pomyślnym uwierzytelnieniu Wiem / Mam / Jestem Aktor / Akcja / Zasób
6. auth0.com Przepraszam, czy można? Uwierzytelnianie Skorzystamy z gotowca!
7. auth0.com Name Role Claims Przepraszam, czy można? ClaimsIdentity
8. auth0.com Garść wymagań biznesowych Przeglądanie recenzji: • Każdy może przeglądać dowolne produkty i ich recenzje Zarządzanie produktami: • Jedynie pracownicy mogą dodawać produkty ◦ Oczywiście, pracownicy muszą być zalogowani Przepraszam, czy można?
9. auth0.com Garść wymagań biznesowych Przeglądanie recenzji: • Każdy może przeglądać dowolne produkty i ich recenzje Zarządzanie produktami: • Jedynie pracownicy mogą dodawać produkty ◦ Oczywiście, pracownicy muszą być zalogowani Przepraszam, czy można?
10. auth0.com Wymagań biznesowych ciąg dalszy Dodawanie recenzji: • Jedynie zalogowani użytkownicy i pracownicy mogą dodawać recenzje do produktów • Użytkownicy mogą usuwać jedynie swoje recenzje Moderowanie recenzji: • Pracownicy mogą usuwać dowolne recenzje ◦ Czy oznacza to, że pracownicy mogą usuwać swoje recenzje? Przepraszam, czy można?
11. auth0.com Przepraszam, czy można? Role Based Access Control czy Claims?
12. auth0.com Wymagań biznesowych ciąg dalszy Dodawanie recenzji: • Jedynie zalogowani użytkownicy i pracownicy mogą dodawać recenzje do produktów • Użytkownicy mogą usuwać jedynie swoje recenzje Moderowanie recenzji: • Pracownicy mogą usuwać dowolne recenzje ◦ Czy oznacza to, że pracownicy mogą usuwać swoje recenzje? Przepraszam, czy można?
13. auth0.com Wymagań biznesowych ciąg dalszy Dodawanie recenzji: • Jedynie zalogowani użytkownicy i pracownicy mogą dodawać recenzje do produktów • Użytkownicy mogą usuwać jedynie swoje recenzje Moderowanie recenzji: • Pracownicy mogą usuwać dowolne recenzje ◦ Czy oznacza to, że pracownicy mogą usuwać swoje recenzje? Przepraszam, czy można?
14. auth0.com Przepraszam, czy można? Polityki kontroli dostępu
15. auth0.com ClaimsIdentity Aktor IAuthorizationRequirement Akcja AuthorizationHandlerContext Zasób Przepraszam, czy można? AuthorizationHandler<IAuthorizationRequirement>
16. auth0.com Przepraszam, czy można? A co z warstwą widoku?
17. auth0.com Wymaganie dodatkowe Przeglądanie recenzji: • Każdy może przeglądać dowolne produkty i ich recenzje Zarządzanie produktami: • Jedynie pracownicy mogą dodawać produkty ◦ Oczywiście, pracownicy muszą być zalogowani • Pracownicy mogą usuwać jedynie produkty, które sami dodali Przepraszam, czy można?
18. auth0.com Przepraszam, czy można? Do zapamiętania 1. Uwierzytelnianie !== Autoryzacja 2. RBAC ~== claims 3. Polityki kontroli dostępu a. Deklaratywne b. Imperatywne 4. Warstwa widoku !== pełna ochrona 5. Podatności: IDOR i BOLA Kod znajdziecie na GitHubie
19. auth0.com Senior Manager, Product Security @marcin_hoppe Node.js Foundation Ecosystem Security Working Group OWASP Serverless Top 10 Project Leader Przepraszam, czy można? Marcin Hoppe
20. auth0.com Do zobaczenia!