Содержание
- 2. Базовая терминология Идентификация — это процедура распознавания субъекта по его идентификатору Идентификация выполняется при попытке войти
- 3. Базовая терминология Когда нам звонят с неизвестного номера, что мы делаем? Правильно, спрашиваем “Кто это”, т.е.
- 4. Базовая терминология Аутентификация — процедура проверки подлинности, доказательство что субъект именно тот, за кого себя выдает.
- 5. Базовая терминология Когда определили ID, проверили подлинность, уже можно предоставить и доступ, то есть, выполнить авторизацию.
- 7. Примеры механизмов аутентификации. Сказка «Волк и семеро козлят» является идеальным примером для демонстрации. Здесь козлята выступают
- 8. Многофакторная аутентификация Многофакторная аутентификация представляет собой метод, при котором пользователю для доступа к учетной записи необходимо
- 9. Многофакторная аутентификация Доступ к ресурсам через ввод логина и пароля, является однофакторной аутентификацией, поскольку для входа
- 10. Однофакторная двухэтапная аутентификация Многоэтапная проверка, добавляет дополнительный уровень безопасности к уже существующей модели логин/пароль. Теперь, для
- 11. Выбор технологии аутентификации Выбирая для системы тот или иной фактор или способ аутентификации, необходимо, прежде всего,
- 12. Выбор технологии аутентификации Требуется выполнить аутентификацию для доступа к системе, где кража, взлом, разглашение конфиденциальных сведений
- 13. Выбор технологии аутентификации Требуется выполнить аутентификацию для доступа к системе, где кража, взлом, разглашение конфиденциальных сведений
- 14. Выбор технологии аутентификации Требуется выполнить аутентификацию для доступа к системе, причём кража, взлом, разглашение конфиденциальных сведений
- 16. Ближе к практике Аналогичные термины применяются и в компьютерных системах, где традиционно под идентификацией понимают получение
- 17. Аутентификация по паролю Этот метод основывается на том, что пользователь должен предоставить username и password для
- 18. HTTP authentication Этот протокол, описанный в стандартах HTTP 1.0/1.1, существует очень давно и до сих пор
- 19. HTTP authentication 2. Браузер, при получении такого ответа, автоматически показывает диалог ввода username и password. Пользователь
- 20. HTTP authentication schemas Весь процесс стандартизирован и хорошо поддерживается всеми браузерами и веб-серверами. Существует несколько схем
- 21. HTTP authentication schemas
- 22. HTTP authentication schemas Digest — challenge-response-схема, при которой сервер посылает уникальное значение nonce, а браузер передает
- 23. HTTP authentication schemas Negotiate — еще одна схема из семейства Windows authentication, которая позволяет клиенту выбрать
- 24. Single Sign-On Технология единого входа — технология, при использовании которой пользователь переходит из одного раздела портала
- 25. Forms authentication Для этого протокола нет определенного стандарта, поэтому все его реализации специфичны для конкретных систем,
- 27. Forms authentication Приложение может создать session token двумя способами: 1. Как идентификатор аутентифицированной сессии пользователя, которая
- 28. Forms authentication 2. Как зашифрованный и/или подписанный объект, содержащий данные о пользователе, а также период действия.
- 29. Аутентификация по сертификатам Аутентификации по паролю считается не очень надежным способом, так как пароль часто можно
- 30. Аутентификация по сертификатам Сертификат представляет собой набор атрибутов, идентифицирующих владельца, подписанный certificate authority (CA). CA выступает
- 31. Аутентификация по сертификатам В веб-приложениях традиционно используют сертификаты стандарта X.509. Аутентификация с помощью X.509-сертификата происходит в
- 32. Аутентификация по сертификатам Во время аутентификации сервер выполняет проверку сертификата на основании следующих правил: Сертификат должен
- 33. Аутентификация по сертификатам Использование сертификатов для аутентификации — куда более надежный способ, чем аутентификация посредством паролей.
- 34. Аутентификация по одноразовым паролям Аутентификация по одноразовым паролям обычно применяется дополнительно к аутентификации по паролям для
- 35. Аутентификация по одноразовым паролям Другой популярный сценарий использования одноразовых паролей — дополнительная аутентификация пользователя во время
- 36. Аутентификация по одноразовым паролям Аппаратные или программные токены, которые могут генерировать одноразовые пароли на основании секретного
- 37. Аутентификация по одноразовым паролям Случайно генерируемые коды, передаваемые пользователю через SMS или другой канал связи. В
- 38. Аутентификация по одноразовым паролям Распечатка или scratch card со списком заранее сформированных одноразовых паролей. Для каждого
- 39. Аутентификация по ключам доступа Этот способ чаще всего используется для аутентификации устройств, сервисов или других приложений
- 40. Аутентификация по ключам доступа В большинстве случаев, сервер генерирует ключи доступа по запросу пользователей, которые далее
- 41. Аутентификация по ключам доступа Хороший пример применения аутентификации по ключу — облако Amazon Web Services. Предположим,
- 42. Аутентификация по ключам доступа Использование ключей позволяет избежать передачи пароля пользователя сторонним приложениям (в примере выше
- 43. Аутентификация по ключам доступа С технической точки зрения, здесь не существует единого протокола: ключи могут передаваться
- 44. Аутентификация по ключам доступа Кроме того, существуют более сложные схемы аутентификации по ключам для незащищенных соединений.
- 45. Аутентификация по токенам Такой способ аутентификации чаще всего применяется при построении распределенных систем Single Sign-On (SSO),
- 46. Аутентификация по токенам Реализация этого способа заключается в том, что identity provider (IP) предоставляет достоверные сведения
- 48. Аутентификация по токенам Процесс, описанный на предыдущем слайде, отражает механизм аутентификации активного клиента, т. е. такого,
- 50. Аутентификация по токенам Сам токен обычно представляет собой структуру данных, которая содержит информацию, кто сгенерировал токен,
- 51. Аутентификация по токенам При аутентификации с помощью токена SP-приложение должно выполнить следующие проверки: Токен был выдан
- 52. Аутентификация по токенам Существует несколько стандартов, в точности определяющих протокол взаимодействия между клиентами (активными и пассивными)
- 53. Форматы токенов Simple Web Token (SWT) — наиболее простой формат, представляющий собой набор произвольных пар имя/значение
- 54. Форматы токенов Пример SWT токена (после декодирования). Issuer=http://auth.myservice.com& Audience=http://myservice.com& ExpiresOn=1435937883& UserName=John Smith& UserRole=Admin& HMACSHA256=KOUQRPSpy64rvT2KnYyQKtFFXUIggnesSpE7ADA4o9w
- 55. Форматы токенов JSON Web Token (JWT) — содержит три блока, разделенных точками: заголовок, набор полей (claims)
- 56. Форматы токенов
- 57. Форматы токенов Security Assertion Markup Language (SAML) — определяет токены (SAML assertions) в XML-формате, включающем информацию
- 58. Стандарт SAML Стандарт Security Assertion Markup Language (SAML) описывает способы взаимодействия и протоколы между identity provider
- 59. Стандарт SAML Assertions — собственный формат SAML токенов в XML формате. Protocols — набор поддерживаемых сообщений
- 60. Стандарт SAML Profiles — типичные сценарии использования стандарта, определяющие набор assertions, protocols и bindings необходимых для
- 61. Стандарты WS-Trust и WS-Federation WS-Trust и WS-Federation входят в группу стандартов WS-* (Web Services – Security),
- 62. Стандарты WS-Trust и WS-Federation Стандарт WS-Trust описывает интерфейс сервиса авторизации, именуемого Secure Token Service (STS). Этот
- 63. Стандарты WS-Trust и WS-Federation Стандарт WS-Federation касается механизмов взаимодействия сервисов между компаниями, в частности, протоколов обмена
- 64. Стандарты OAuth и OpenID Connect В отличие от SAML и WS-Federation, стандарт OAuth (Open Authorization) не
- 65. Стандарты OAuth и OpenID Connect Чтобы лучше понять сам стандарт, рассмотрим пример веб-приложения, которое помогает пользователям
- 66. Стандарты OAuth и OpenID Connect Как раз эту проблему и позволяет решить стандарт OAuth: он описывает,
- 67. Стандарты OAuth и OpenID Connect 2. Приложение обращается к серверу авторизации и получает токен доступа к
- 69. Стандарты OAuth и OpenID Connect Стандарт описывает четыре вида грантов, которые определяют возможные сценарии применения: Authorization
- 70. Стандарты OAuth и OpenID Connect Implicit — применяется, когда у приложения нет возможности безопасно получить токен
- 71. Стандарты OAuth и OpenID Connect Resource Owner Password Credentials — грант представляет собой пару username/password пользователя.
- 72. Стандарты OAuth и OpenID Connect Client Credentials — в этом случае нет никакого пользователя, есть приложение
- 73. Стандарты OAuth и OpenID Connect Стандарт не определяет формат токена, который получает приложение: в сценариях, адресуемых
- 74. Стандарты OAuth и OpenID Connect Зачастую API сервера ресурсов включает операцию, предоставляющую информацию о самом пользователе
- 75. Стандарты OAuth и OpenID Connect
- 76. Стандарты OAuth и OpenID Connect Использовать стандарт OpenID Connect, разработанный как слой учетных данных поверх OAuth
- 79. Авторизация в NodeJS приложениях В рамках нашего курса предлагаю использовать популярную middleware - PassportJS, для того
- 81. Скачать презентацию