thomasgassmann.net manuelmeyer.net @gassmannT @manumeyer1 Du kommst hier ned rein! ASP.NET Core APIs und Angular Security mit Azure Manuel Meyer, Thomas Gassmann Developer Week 2021

Manuel Meyer helps customers: • to kick-start the Azure journey. • to architect, implement and optimize their Azure Solutions www.manuelmeyer.net www.azurezurichusergroup.com @manumeyer1

Thomas Gassmann helps customers: • to architect and implement their business applications • with the migration of large application www.thomasgassmann.net @gassmannT

Agenda ▪ Wieso diese Session? ▪ OAuth 2.0 & OpenID Connect ▪ Zielarchitektur ▪ Demo

Wieso diese Session?

Security? https://informationisbeautiful.net/visualizations/worlds-biggest-data-breaches-hacks/ Klar doch!!!

OAuth? Lösung gefunden! Das Ding läuft!

OAuth? Du Depp hast es genau falsch rum gemacht und NIX verstanden! Der nächste Blog Post: GAR NIX VERSTANDEN!!!

OAuth? OAuth 2.0 OIDC Resource Server Token SAML Delegation Claims Implicit Flow Code Flow Code Challenge PKCE Identity Server Resource

OAuth?

OAuth 2.0 & OpenID Connect

OAuth 2.0 Herausforderungen ▪ Die Spezifikation ist unvollständig bzw. zu offen ▪ Es gibt viele unterschiedliche Implementierungen ▪ Viele neue Begriffe und Konzepte ▪ Die Authorization Flows sind komplex ▪ Es gibt 1 Million verschiedene Meinungen zum Thema.

OAuth 2.0 ▪ IETF ▪ RFC 6749 ▪ 75 Seiten ▪ Von 2012 https://datatracker.ietf.org/doc/html/rfc6749

OAuth 2.0

In der Zeit vor OAuth Resource Owner Client (Application) Resource

Probleme? ▪ Dein Passwort ist geheim! ▪ Mit dem Passwort kann die Client-App auf ALLES zugreifen ▪ Der Resource Owner gibt die Kontrolle aus der Hand OAuth löst diese Probleme. Aber: ▪ OAuth macht NUR die Authorization ▪ OAuth wurde erfunden für die Delegated Authorization.

OAuth 2.0 Protocol Flow for Delegated Authorization Resource Resource Owner Client (Application)

OAuth 2.0 Protocol Flow Resource Owner Client (Application) Resource

Resource Owner Consent

OAuth Scopes ▪ Definieren auf was ein Resource Owner Zugriff zulassen kann ▪ Format: & ▪ -> Der Resource Owner (Mensch) muss die Scopes verstehen DwxAPI api://dwxapi/speakers.read api://dwxapi/speakers.write api://dwxapi/sessions.read api://dwxapi/sessions.write api://dwxapi/rooms.read api://dwxapi/rooms.write Gmail https://www.googleapis.com/auth/gmail.compose https://www.googleapis.com/auth/gmail.send https://www.googleapis.com/auth/gmail.settings

OAuth 2.0 Protocol Flow for Delegated Authorization Resource Resource Owner Client (Application)

OAuth 2.0 Protocol Flow App Person API Token Service https://datatracker.ietf.org/doc/html/rfc6749

OAuth 2.0 Flows? ▪ Client Credential Flow ▪ Authorization Code Flow ▪ Authorization Code Flow with PKCE ▪ Device Code Flow ▪ Refresh Token Flow ▪ Resource Owner Password Credential Flow ROPC ▪ Implicit Flow.

OAuth 2.0 Flows? ▪ Client Credential Flow -> Machine-to-Machine, no user ▪ Authorization Code Flow ▪ Authorization Code Flow with PKCE ▪ Device Code Flow -> No keyboard, no browser (Azure CLI, Apple TV) ▪ (Refresh Token Flow) -> included in the Authorization Code Flows ▪ Resource Owner Password Credential Flow ROPC ▪ Implicit Flow Legacy Flows (Do NOT use) Special Flows

OAuth 2.0 Flows? ▪ Client Credential Flow -> Machine-to-Machine, no user ▪ (Authorization Code Flow) ▪ Authorization Code Flow with PKCE ▪ Device Code Flow -> No keyboard, no browser (Azure CLI, Apple TV) ▪ (Refresh Token Flow) -> included in the Authorization Code Flows ▪ Resource Owner Password Credential Flow ROPC ▪ Implicit Flow Legacy Flows (Do NOT use) Special Flows

OAuth 2.0 Authorization Code Flow Resource Resource Owner Client (Application) Darf ich die Daten von Manu lesen (Scopes[])? Authorization Server Klaro («auth code») Access Token Request («auth code» & «secret») Zugriff (Access Token) Access Token Daten 1 2 3

OpenID Connect (OIDC) OAuth 2.0 = (Delegated) Authorization OpenID Connect = Authentication

OpenID Connect (OIDC) Ist ein Authentifizierungsstandard, der auf OAuth aufbaut. OIDC ergänzt die OAuth Spezifikation und ist spezifischer. Oauth 2.0 (Authz) ▪ ID Token (Login & Profile) ▪ Token Format: JWT (say «JOT») ▪ Standard Scopes (openid, profile, email, address) ▪ Standard Claims (e.g. family_name). OIDC (Authn) ▪ Access/Refresh Tokens ▪ Token Format: any ▪ Scopes: any ▪ Claims: any

OAuth 2.0 Authorization Code Flow Resource Resource Owner Client (Application) Authorization Server Klaro («auth code», «ID Token») Access Token Request («auth code» & «secret») Zugriff (Access Token) Access Token Daten Darf ich die Daten von Manu lesen («scopes[]») 1 3 4 2 Login & consent

Schwachstellen in Oauth 2.0 Resource Resource Owner Client (Application) Authorization Server Klaro («auth code», «ID Token») Access Token Request («auth code» & «secret») Zugriff (Access Token) Access Token Daten Darf ich die Daten von Manu lesen («scopes[]») 1 3 4 2 Login & consent

Public Client vs. Confidential Client Public Client ▪ Kann ein Secret NICHT sicher speichern ▪ Browser Apps (SPAs), Mobile Apps, Desktop Apps Confidential Client ▪ Kann ein Secret sicher speichern ▪ Klassische Web Apps mit Server Side Rendering (ASP.NET, etc.) Lösung: Implicit Flow (legacy) Authorization Code flow with PKCE.

OAuth 2.0 Authorization Code Flow Resource Resource Owner Client (Application) Authorization Server Klaro («auth code») Access Token Request («auth code» & «secret») Zugriff (Access Token) Access Token Daten Darf ich die Daten von Manu lesen («scopes[]») 1 3 4 2 Login & consent

Implicit Flow (Legacy = Nicht verwenden!) Resource Resource Owner Client (Application) Darf ich die Daten von Manu lesen? Authorization Server Klaro («access token») Zugriff (Access Token) Daten 1 3 2 Login & consent

PKCE (say “Pixie”) Proof Key for Code Exchange (Alternative zum Implicit Flow) 1. Der Client generiert ein «Secret» ad-hoc und schickt es als Hashwert (code_challenge) an den Authorization Server 2. Der Authorization Server speichert diesen Hashwert 3. Wenn der Client einen Access Token anfordert muss er den Hashwert mitschicken 4. Der Authorization Server vergleicht den Hashwert mit dem gespeicherten und schickt bei Übereinstimmung ein Access Token zurück. PKCE stellt sicher, dass der client, welcher den Access Token bestellt hat, der gleiche Client ist welcher die Authentifizierung gemacht hat!

Auth Code with PKCE Resource Resource Owner Client (Application) Darf ich die Daten von Manu lesen? Authorization Server Klaro («auth code») Access Token Request («auth code» & «secret») Zugriff (Access Token) Access Token Daten 1 2 4 Login & consent 3 +code_challenge +code_challenge

JWT Tokens ▪ OIDC - ID Token: Who is the user? ▪ OAuth 2.0 - Access Token: The user is allowed to access scopes a,b,c on resource server «DWXApi». ▪ OAuth 2.0: Refresh Token: Can be used to renew an Access Token ▪ Tokens sind kryptografisch signiert aber nicht verschlüsselt. Tooling: https://jwt.ms.

JWT Tokens

Zielarchitektur

Client Resource Owner Azure AD API Architektur

Konfiguration Azure

Konfiguration Azure

Konfiguration Azure

Konfiguration Azure

Konfiguration Azure

DEMO Azure

ASP.NET Core ▪ Nuget Package «Microsoft.Identity.Web» ▪ Konfiguration hinzufügen

ASP.NET Core ▪ ASP.NET Core Middleware: Service hinzufügen

ASP.NET Core ▪ Attribut hinzufügen

DEMO ASP.NET Core

Angular ▪ Es gibt viele npm Pakete für Angular. Z.B. ▪ @azure/msal-angular (Microsoft) ▪ angular-oauth2-oidc (Manfred Steyer) ▪ angular-auth-oidc-client (Damien Bowden & Fabian Gosebrink)

Angular ▪ npm Paket installieren / hinzufügen

Angular ▪ Konfiguration anpassen

DEMO Angular https://github.com/gassmannT/ngCoreSecurity

Zusammenfassung ▪ OAuth 2.0 und OpenID kommen im Doppelpack ▪ Authorization Code with PKCE ist der empfohlene Flow für Web Apps ▪ Die Implementierungsdetails übernehmen die Libraries ▪ Trotzdem müssen die Konzepte verstanden werden.

Thank you! Manuel Meyer www.manuelmeyer.net @manumeyer1 [email protected] Thomas Gassmann www.thomasgassmann.net @gassmannT [email protected] Ranjid

No content