OpenID Connect

1 - Historia

OpenID Connect fue ratificado como estándar por sus miembros el 26 de Febrero del 2014. OpenID Connect provee un framework de identidad para interacciones RESTful. Fue desarrollado bajo el alero de OpenID Foundation y tiene sus raíces en OpenID, pero fue influido en gran medida por OAuth 2.0.

El anuncio emitido por la OpenID Foundation referente al lanzamiento del estándar OpenID Connect está disponible en aquí

OpenID, quien sigue los pasos de SAML en 2005, revolucionó la autenticación web. Brad Fitzpatrick, fundador de LiveJournal, indicó. El principio básico tras ambos OpenID y SAML, son los mismos. Ambos pueden ser utilizados para facilitar single sign-on (SSO) y cross-domain identity federation. OpenID mantiene una mayor comunidad, centra mejor al usuario y es descentralizado. Yahoo! incorporó soporte para OpenID en Enero del 2008, MySpace anunció soporte para Julio de ese mismo año, Google uniéndose en Octubre. Para diciembre del 2009, hay más de 1 billon de cuentas de usuario OpenID-Enabled. Fue un tremendo éxito como protocolo SSO Web.

2 - Inicio Rápido

¿Cuántos perfiles mantienes hoy en diferentes sitios web?. Quizás tienes una cuenta Yahoo!, una en Facebook, otra en Google, etc. Cada vez que se actualiza un dato personal, teléfono o dirección, tienes que actualizarlo en cada lugar o mantener datos desactualizados. OpenID soluciona este problema de datos de perfil distribuidos por diferentes proveedores. Con OpenID, mantienes tu perfil solamente en tu OpenID provider. Y todos los otros sitios se transforman en OpenID relying parties. Estos “hablan” con tu proveedor OpenID para obtener tu información de perfil.

Cada vez que intentes entrar a un sitio web OpenID relying party; serás redireccionado al OpenID provider. Ahí deberás autenticarte y aprobar el requerimiento de atributos hecho por el relying party. Al aprobar, eres redireccionado de vuelta al sitio del relying party con los atributos del request.

Con SSO, solamente autentificas en el proveedor OpenID. Esto siendo, un relying party te redirecciona por primera vez. Luego de eso, el OpenID provider no vuelve a consultar por credenciales, sino que utiliza la sesión creada previamente. Esta sesión autenticada es mantenida ya sea por una cookie hasta que el browser sea cerrado, o por una cookie persistente.

sequenceDiagram;
    participant Usuario
    participant Relying Party
    participant OpenID Provider
    Usuario->>+Relying Party: Intento de Login
    Relying Party-->>-Usuario: Login link
    Usuario->>Usuario: Click link
    alt auth flow
        Usuario->>+OpenID Provider: Login request
        OpenID Provider-->>-Usuario: Render toma de evidencias
        Usuario->>+OpenID Provider: Proporciona evidencias
    end
    alt consent flow
        OpenID Provider-->>-Usuario: Render toma consentimientos
        Usuario->>+OpenID Provider: Proporciona consentimientos
    end
    OpenID Provider-->>-Usuario: 302 callback url
    Usuario->>Usuario: resuelve 302
    Usuario->>Relying Party: Entrega code
    Relying Party->>OpenID Provider: Intercambio code por tokens
    OpenID Provider->>Relying Party: AccessToken y/o idToken

3 - ID Token

El ID Token es la principal adición a OAuth2 que realiza OpenID Connect. Es un JSON web token JWT que transporta información relevante al usuario autenticado desde el servidor de autorización (OpenID provider) hacia la aplicacion cliente (OpenID relaying party). La estructura de un ID Token es definida por la especificación OpenID Connect. A continuación un ejemplo de ID Token:

StandardClaims

{
    "iss": "https://accounts.autentiaplus.id/",
    "sub": "d733edad-4d05-402a-9b66-090b06d40f7a",
    "name": "Luis Ignacio Cisternas Rojas",
    "given_name": "Luis Ignacio",
    "family_name": "Cisternas Rojas",
    "gender": "male",
    "updated_at": 1604416603,
    "aud": "67jjuyuy7JHk12",
    "nonce": "88797jgjg32323",
    "exp": "1416283970",
    "iat": "1416283970",
    "auth_time": ":1311280969",
    "acr": "urn:acr:password",
    "amr": "password",
    "azp": "67jjuyuy7JHk12"
}

4 - Authorization Request

curl --location --request GET 'https://accounts.autentiaplus.id/oauth2/auth? \
      response_type=code&
      scope=openid&
      client_id=eacd29ca-1bcf-418d-8b39-63c22b75bcf7
      redirect_uri=https://localhost:3000/callback&
      response_mode=query&
      nonce=aXK2rXuApo&
      state=8KHUzRUxtZ&
      display=page&
      prompt=login&
      max_age=24h&
      ui_locales=es-CL&
      id_token_hint=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c&
      login_hint=16182517-4&
      acr_values=urn:acr:facial'

5 - Scope

(StandardClaims)[https://openid.net/specs/openid-connect-basic-1_0.html#StandardClaims]

6 - Credential

Credential Payload

{
  "sub": "16182517-4",
  "country": "CHL",
  "typ": "rut",
  "iss": "srcei"
}

7 - Authentication Context Reference

Strategy ACR’s

2FA ACR

8 - Librerías

Movil

• AppAuth Android
• AppAuth iOS

Frontend

• AppAuth JS
• OpenID TypeScript
• AngularOIDC

Backend

• GO-OIDC
• Caos OIDC
• SpringBoot
• PyOIDC
• Apache MOD
• Ruby OpenIDConnect
• phpOIDC