Mozilla Persona. Hauptseminar Web Engineering. Vortrag. an identity system for the web Nico Enderlein

Transkript

1 Mozilla Persona an identity system for the web Hauptseminar Web Engineering Vortrag Nico Enderlein 1

2 PASSWORT??? BENUTZERNAME??? 2

3 Idee IDEE Protokoll & Implementierung Voost ( Kalender für Fahrradrennen) Vergleich & Limits Demo OpenPhoto (Fotospeicher) The Times Crossword (Kreuzworträtsel) Quellen 3

4 Aus Sicherheitsgründen nutzt man nicht immer das selbe Passwort + Benutzername Nutzer muss sich sehr viele Passwörter und Benutzernamen merken oder es in einem PasswortSafe speichern (nahezu unknackbare Passwortdatenbank) nicht sehr komfortabel wenn man viele Geräte benutzt Es wird nur noch ein eine -Adresse (als Identität) und ein Passwort für die Anmeldung an allen Web-Services benötigt Single Sign-On System Mehrere Identitäten ( -Adressen) können verwaltet und verwendet werden Ursprünglicher Projektname: BrowserID jetzt Protokollname von Mozilla Persona 4

5 Idee Protokoll BrowserID Teilnehmende Parteien: Protokoll & Implementierung Vergleich & Limits Demo User - Die Person die sich an einem Webservice anmelden möchte Relying Parties (RP) - Webservice die den Benutzer einloggen lassen möchte (über Mozilla Persona ) Identity Providers (IdP) - Domains die Mozilla Persona kompatible Identity Zertifikate für seine Benutzer ausstellen können Quellen 5

6 Protokoll und Implementierung Mozilla Persona benutzt -Adressen als Identitäten Provider wird Identity Provider sein Wenn Provider nicht über die Funktionalität eines Identity Provider verfügt stellt Mozilla einen fallback Identity Provider bereit jede Adresse kann benutzt werden Protokoll Ablauf 1. User Zertifikat Bereitstellung 2. Behauptung generieren (Behauptung= Ich bin der und der und will mich da und da anmelden ) 3. Behauptung verifizieren/bestätigen 6

7 Protokoll und Implementierung User Zertifikat Bereitstellung Um sich bei eine Relying Party einzuloggen muss der User beweisen das ihm die angegebene Adresse gehört Die Grundlage für diesen Beweis ist ein kryptographisch signiertes Zertifikat von einem Identity Provider ( unterschrieben mit dem privaten Schlüssel des IdP) Es bestätigt die Verbindung zwischen dem Browser des Users und einer bestimmten Identität Mozilla Persona benutzt das Standard public key Verschlüsslungsverfahren 7

8 Protokoll und Implementierung User Zertifikat (Inhalt) Adresse des Users öffentlicher Schlüssel (public key) des Users für die jeweilige Adresse auf dem jeweiligen Browser Das Erstellungsdatum des Zertifikats Das Ablaufdatum des Zertifikats (24h nach Erstellungsdatum) Der IdP Domain Name 8

9 Protokoll und Implementierung User Zertifikat Für jede Adresse wird ein neues Schlüsselpaar generiert Die Schlüsselpaare werden nicht zwischen den Browsern getauscht immer wenn ein Zertifikat abläuft oder ein anderer Browser (anderer Computer) benutzt wird, wird ein neues Zertifikat erstellt 9

10 Quelle: Protokoll und Implementierung 1. User meldet sich beim IdP an User Zertifikat Ablauf 2. Browser generiert ein neues Schlüsselpaar 2b. Der Browser läd sich ein support document von der IdP Domain (über SSL) 3. Mit Hilfe des support document sendet der Browser die Adresse und den public Key zum IdP und fordert ein signiertes Zertifikat an 4. Der IdP generiert und signiert ein Zertifikat 5. IdP sendet das Zertifikat dem Browser des Users 10

11 Protokoll und Implementierung Nun kann der Browser mit dem Zertifikat eine Identity-Behauptung aufstellen Behauptungsgenerierung Das User Zertifikat ist somit eine Verbindung zwischen einer -Adresse und einem public key Das alleine reicht aber noch nicht um sich an einer Website anzumelden Der Benutzer muss immer noch seine Verbindung zum Zertifikat durch den Besitz des privaten Schlüssels beweisen Um dies zu beweisen generiert der Browser des Benutzers ein neues Dokument und signiert es mit dem private key Die Domain der RP an welche sich der Benutzer anmelden will Ablaufzeit für diese Anfrage (<=5min) Der Browser hat nun beides, das User Zertifikat und die Identity Behauptung und schickt dies der RP zur Verifikation 11

12 Protokoll und Implementierung Behauptung verifizieren 1. Signieren des Behauptungsdokuments mit dem private key des Users 2. Behauptungsdokument und User Zertifikat zur RP senden 3. RP holt sich den public key des Users vom IdP (support document) 4. RP checkt: Signatur des Behauptungsdokument ( mit Hilfe des public key aus dem User Zertifikat) User Zertifikat Signatur ( mit Hilfe des public keys des IdP) Ablaufdatum des Behauptungsdokument User Zertifikat Ablaufdatum Quelle: Wurde festgestellt das sich der Login an die richtige RP gestellt wurde, dass das User Zertifikat zum Benutzer passt und legimitiert ist, dann ist die RP fertig und kann den User als die Identity aus dem Zertifikat authentifizieren. 12

13 Protokoll und Implementierung Support Document Domain zeigt durch support document das sie ein Mozilla Persona Identity Provider ist (/.well-known/browserid) JSON document (muss über HTTPS mit dem content type application/json geliefert werden) In dem Dokument ist beschrieben wie die Bereitstellung und Authentifizierung des Users läuft oder ein anderer IdP an dem die Autorität abgeben wird Wenn die Domain direkt als ein IdP fungiert gibt es drei Werte in diesem File public-key: Der öffentlichen Schlüssel der Domain authentication: Die Seite welche den User nach dem Login fragt provisioning: Die Seite welche die User-Identität zertifiziert 13

14 Protokoll und Implementierung Beispiel support document { "public-key": { "algorithm": "RS", "n": " ", "e": "65537" }, "authentication": "/browserid/sign_in.html", "provisioning": "/browserid/provision.html" } 14

15 Protokoll und Implementierung Persona Fallback IdP Was passiert wenn der Provider des Benutzers Persona nicht unterstüzt? Der Browser des Users löst dies indem er eine trusted third party (also eine vertrausvoll 3. Partie) ( fragt ob diese die Identität des Benutzers anstelle der nicht unterstützten Domain verfiziert. 15

16 Protokoll und Implementierung Implementierung auf der eigenen Website Wenige Zeilen JavaScript Code (oder HTML5) reichen aus Produktbeschreibung und Dokumentation sind bei Mozilla zu finden Quellcode ist frei auf github bereitgestellt Zusätzlich ist es für zahlreiche Frameworks und Content Management Systeme verfügbar (z.b. Wordpress, Joomla ) I 16

17 Idee Vergleich & Limits Unterschiede zu anderen Single Sign-On Systemen Protokoll & Implementierung Vergleich & Limits Demo Quellen Schutz der Privatsphäre dadurch das der Identitätsanbieter nicht in die Transaktion involviert ist Für ein Konto ist nur eine Adresse (keine ID oder Benutzername) und nicht der tatsächliche Name des Nutzers nötig Auch mehrere Adressen oder Konten pro Nutzer sind möglich ( Somit können Identitäten getrennt werden z.b. privat oder geschäftlich) Informationen über besuchte Websites werden nur auf dem Computer des Benutzers und nicht auf dem Log-in Server gespeichert Leichtere Implementierung Funktioniert in jedem Browser, auch auf Smartphones und Tablets Keine Zusammenarbeit mit google und facebook kein Interesse an Nutzerdaten 17

18 Vergleich & Limits Vergleich zu anderen Single Sign-On Systemen Facebook Connect OpenID Oauth WebID Mozilla Persona Zentral/de zentral Zentral dezentral zentral dezentral dezentral Speicheru ng der Benutzerd aten ja ja ja nein nein I Identität Facebook Profil URL Benutzern ame FOAF Profil Adresse Mobile Unterstütz ung ja Ja mit spezieller mobile Library ja Nein ja Implemen tierung mittel komplizier t komplizier t mittel mittel 18

19 Vergleich & Limits Limits/Nachteile/Schwächen Wurde die Identität ( und Passwort) gestohlen hat man sofort Zugang zu allen Webservices Das Risiko nur ein einziges Passwort zu verraten ist sehr viel höher Es ist schwer eine richtige Lifetime für die Login Session zu finden I Wenn sich der Besitzer der Adresse ändert hat derjenige Zugriff auf die Daten das alten Besitzers (denn die RP hat weiterhin die als Identität des Nutzers gespeichert) Die Sicherheit des private keys muss gesichert sein Benutzer muss eine Konto bei Mozilla Persona haben ( evt. will er dies nicht) um sich bei einem Webservice anzumelden Kann sich Mozilla Persona durchsetzen? Wieviele Webservices werden Persona nutzen? 19

20 Idee DEMO Protokoll & Implementation Vergleich & Limits Demo - online Links Demo Quellen 20

21 Idee Quellen Protokoll & Implementation Vergleich & Limits Demo Quellen

22 Fragen 22