Authentification, confidentialité, gestion des identités ... au secours, je confonds tout !

Comme tout développeur, vous connaissez un peu l'authentification par login, et le SSO. Vous avez des notions de OAuth et OpenId Connect et avez entendu parler de SAML, mais tout cela reste à la fois ennuyeux et un peu confus. Il est temps de faire le point de façon rigoureuse, en prenant comme exemple concret un système de baby-sitting avec des services backend REST et Spring Boot. Et je vous promets d'expliquer tout cela de façon plus joyeuse que dans ma thèse !

Transcript

1. #DevoxxFR Authentification, Confidentialité, Gestion des identités … Au secours, je confonds tout ! olfa.mabrouki@arolla.fr @somabrouki 1
2. #DevoxxFR We love picture 2 Identité 1/6 #DevoxxFR @somabrouki
3. #DevoxxFR 3 Montures marrons Cheveux châtains mi-longs Visage rond Rouge à lèvres Haut en motif Identité 2/6 #DevoxxFR @somabrouki
4. #DevoxxFR 4 Identité 3/6 Maman Copine Soeur Collègue #DevoxxFR @somabrouki
5. #DevoxxFR 5 Identité 4/6 Olfa #DevoxxFR @somabrouki
6. #DevoxxFR 6 Identité 5/6 Olfa Maman Employeur Amie Identités Applications Babysitting Logiciel de paie Réseau social #DevoxxFR @somabrouki
7. #DevoxxFR 7 Identité 6/6 Olfa Maman 2 Unicité des identités Application Babysitting Maman 1 Alice #DevoxxFR @somabrouki
8. #DevoxxFR 8 #DevoxxFR @somabrouki
9. #DevoxxFR 9 Authentification Olfa Cherche une nounou Vérifier l'identité présumée : - d’une personne - de toute autre entité #DevoxxFR @somabrouki
10. #DevoxxFR Moyens d’authentification Risque d’attaque bas biométrie moyen certificat & clé 10 Haut pwd #DevoxxFR @somabrouki
11. #DevoxxFR Moyens d’authentification 11 Quel moyen choisir ? - Sécurité niveau ? - Coût - ... #DevoxxFR @somabrouki
12. #DevoxxFR Authentification vs Identification 12 Je communique l’identité Je vérifie l’identité #DevoxxFR @somabrouki
13. #DevoxxFR Familles d’authentification 13 Olfa Cherche une nounou Authentification basique/simple #DevoxxFR @somabrouki
14. #DevoxxFR Familles d’authentification 14 Authentification forte Olfa Cherche une nounou #DevoxxFR @somabrouki
15. #DevoxxFR Authentification unique 15 Avant le SSO Login1/Pwd1 Login2/Pwd2 Login3/Pwd3 Login4/Pwd4 Login5/Pwd5 Avec le Single Sign On (SSO) Login/Pwd #DevoxxFR @somabrouki
16. #DevoxxFR Authentification unique 16 #DevoxxFR @somabrouki
17. #DevoxxFR Fonctionnement d’un SSO 17 1. demande l’accès #DevoxxFR @somabrouki
18. #DevoxxFR Fonctionnement d’un SSO 18 2. pas de session ! Credentials? #DevoxxFR @somabrouki
19. #DevoxxFR Fonctionnement d’un SSO 19 3. Credentials ! #DevoxxFR @somabrouki
20. #DevoxxFR Fonctionnement d’un SSO 20 4. Session & Token #DevoxxFR @somabrouki
21. #DevoxxFR Fonctionnement d’un SSO 21 #DevoxxFR @somabrouki 5. Accès à l’application
22. #DevoxxFR 22 #DevoxxFR @somabrouki
23. #DevoxxFR Autorisation 23 Eve est autorisée (gestionnaire du dossier) Olfa Dossier d’Olfa Dossier d’Alice Alice #DevoxxFR @somabrouki
24. #DevoxxFR Autorisation 24 Eve est autorisée (gestionnaire du dossier) Olfa Dossier d’Olfa Dossier d’Alice Alice #DevoxxFR @somabrouki
25. #DevoxxFR 25 #DevoxxFR @somabrouki
26. #DevoxxFR Confidentialité 26 Eve est un tiers de confiance Olfa - CIN - Date de naissance #DevoxxFR @somabrouki
27. #DevoxxFR 27 #DevoxxFR @somabrouki
28. #DevoxxFR OAuth 2.0 28 #DevoxxFR @somabrouki
29. #DevoxxFR OAuth 2.0 a 4 rôles 29 #DevoxxFR @somabrouki
30. #DevoxxFR 30 s’authentifie via son smartphone pour chercher une nounou ... Scénario #DevoxxFR @somabrouki
31. #DevoxxFR 31 Resource Owner Client Authorization Server Resource Server Liste des nounous sur Paris En coulisse ... #DevoxxFR @somabrouki
32. #DevoxxFR 32 Resource Owner Client Authorization Server Resource Server la liste des nounous sur Paris, stp ? coucou backend ! En coulisse ... #DevoxxFR @somabrouki
33. #DevoxxFR 33 Resource Owner Client Authorization Server Resource Server Access token ? Désolé ! Ressource protégée ! En coulisse ... #DevoxxFR @somabrouki
34. #DevoxxFR 34 Resource Owner Client Authorization Server Resource Server Hey Google ! Access Token, stp ? En coulisse ... #DevoxxFR @somabrouki
35. #DevoxxFR 35 Resource Owner Client Authorization Server Resource Server Credentials stp ! En coulisse ... #DevoxxFR @somabrouki
36. #DevoxxFR 36 Resource Owner Client Authorization Server Resource Server Pas de problème ! Je suis ro@gmail.com & mot de passe 2bb80d537b1da3e38bd30361aa855686bde0e acd7162fef6a25fe97bf527a25b En coulisse ... #DevoxxFR @somabrouki
37. #DevoxxFR 37 Resource Owner Client Authorization Server Resource Server Access Token eyJzdWIiOiJvbGZhIiwiaXNzIjoiYXV0a En coulisse ... #DevoxxFR @somabrouki
38. #DevoxxFR 38 Resource Owner Client Authorization Server Resource Server Token eyJzdWIiOiJvbGZhIiwiaXNzIjoiYXV0a Coucou backend ! En coulisse ... #DevoxxFR @somabrouki
39. #DevoxxFR 39 Resource Owner Client Authorization Server Resource Server Token eyJzdWIiOiJvbGZhIiwiaXNzIjoiYXV0a À qui appartient-t-il ? En coulisse ... #DevoxxFR @somabrouki
40. #DevoxxFR 40 Resource Owner Client Authorization Server Resource Server Token valide Appartient à ro@gmail.com En coulisse ... #DevoxxFR @somabrouki
41. #DevoxxFR 41 Resource Owner Client Authorization Server Resource Server Tout va bien ! Voici la liste des nounous sur Paris ! En coulisse ... #DevoxxFR @somabrouki
42. #DevoxxFR 42 Resource Owner Client Authorization Server Resource Server Voici la liste des nounous sur Paris ! En coulisse ... #DevoxxFR @somabrouki
43. #DevoxxFR Donc, OAuth 2.0... 43 Resource Owner Client Application #DevoxxFR @somabrouki Aucune idée sur les Credentials
44. #DevoxxFR 44 #DevoxxFR @somabrouki
45. #DevoxxFR OpenId Connect (OIDC) Authentification Protocole d’authentification unique (SSO) Protocole de délégation d’autorisation Tokens 45 #DevoxxFR @somabrouki
46. #DevoxxFR OpenId Connect (OIDC) http://openid.net/connect 46 #DevoxxFR @somabrouki
47. #DevoxxFR OpenId Connect (OIDC) 47 #DevoxxFR @somabrouki
48. #DevoxxFR OpenId Connect (OIDC) 48 #DevoxxFR @somabrouki
49. #DevoxxFR OpenId Connect (OIDC) 49 #DevoxxFR @somabrouki
50. #DevoxxFR 50 #DevoxxFR @somabrouki Json Web Token (JWT)
51. #DevoxxFR 51 #DevoxxFR @somabrouki
52. #DevoxxFR 52 Scénario Olfa cherche toujours une nounou ... #DevoxxFR @somabrouki
53. #DevoxxFR 53 Application de babysitting Billing Microservice Scheduling Microservice Subscribing Microservice Client Applications Authentication & Authorization Server Gateway Auth & Accès ? Accès à une ressource Par Olfa Par Olfa Par Olfa #DevoxxFR @somabrouki
54. #DevoxxFR 54 Authentification et les microservices #DevoxxFR @somabrouki
55. #DevoxxFR 55 Délégation de l’authentification Billing Microservice Scheduling Microservice Subscribing Microservice Auth & Accès Olfa #DevoxxFR @somabrouki
56. #DevoxxFR 56 Authentification proprement dite ... Auth & SSO Olfa #DevoxxFR @somabrouki
57. #DevoxxFR 57 Maintien du contexte de l’authentification Billing Microservice Scheduling Microservice Subscribing Microservice Auth & Accès Olfa Gateway Par Olfa Par Olfa Par Olfa Accès à une ressource #DevoxxFR @somabrouki
58. #DevoxxFR 58 Propagation de l’identité de l’utilisateur Billing Microservice Scheduling Microservice Subscribing Microservice Auth & SSO Olfa Par Olfa Accès à une ressource #DevoxxFR @somabrouki
59. #DevoxxFR 59 Show me ! Authentification Identité Autorisation Microservices #DevoxxFR @somabrouki
60. #DevoxxFR JWT Dependency <dependency> <groupId>io.jsonwebtoken</groupId> <artifactId>jjwt</artifactId> <version>0.7.0</version> </dependency> 60 @somabrouki
61. #DevoxxFR Configuration avec Spring Security @Configuration @EnableWebSecurity public class WebSecurityConfig extends WebSecurityConfigurerAdapter { @Override protected void configure(HttpSecurity http) throws Exception { http.csrf().disable().authorizeRequests() .antMatchers("/").permitAll() .antMatchers(HttpMethod.POST, "/login").permitAll() .anyRequest().authenticated() .and() .addFilterBefore(new JWTLoginFilter("/login", authenticationManager()), UsernamePasswordAuthenticationFilter.class) .addFilterBefore(new JWTAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class); } } 61 @somabrouki
62. #DevoxxFR 62 @somabrouki
63. #DevoxxFR 63 @somabrouki
64. #DevoxxFR 64 @somabrouki
65. #DevoxxFR 65 @somabrouki
66. #DevoxxFR 66 @somabrouki
67. #DevoxxFR Auth0 Dependency <dependency> <groupId>com.auth0</groupId> <artifactId>auth0</artifactId> <version>1.0.0</version> </dependency> <dependency> <groupId>com.auth0</groupId> <artifactId>auth0-spring-security-api</artifactId> <version>1.0.0-rc.2</version> </dependency> 67 @somabrouki
68. #DevoxxFR Configuration avec Spring Security avec Auth0 @Configuration @EnableWebSecurity public class WebSecurityConfig extends WebSecurityConfigurerAdapter { @Value("${auth0.audience}") private String audience; @Value("${auth0.issuer}") private String issuer; @Override protected void configure(HttpSecurity http) throws Exception { http.authorizeRequests() .antMatchers("/").permitAll() .antMatchers("/users").authenticated(); JwtWebSecurityConfigurer .forRS256(audience, issuer) .configure(http); } } 68 @somabrouki
69. #DevoxxFR application.properties auth0.audience=babysitting.subscribing auth0.issuer=babysitting.eu.auth0.com 69 @somabrouki
70. #DevoxxFR 70 Résumons... #DevoxxFR @somabrouki
71. #DevoxxFR Merci ! 71 @somabrouki