Autenticazione OpenID e accesso API

Question

L'autenticazione OpenID è intrinsecamente basata sul browser. Se volessi consentire ad un utente OpenID di autenticarsi con un'API da utilizzare in client alternativi, esiste una best practice accettata per questo?

Quindi, se un utente ha provato ad accedere con il suo OpenID a un'app per iPhone, ad esempio, come funzionerebbe? L'unica cosa che posso pensare di generare un token API di qualche tipo per loro e ottenere l'utente per inserirlo manualmente da qualche parte. Questo approccio non è facile da usare.

Questo è il modo in cui siti come Basecamp funzionano, ma a me sembra ancora goffo.

Answer 1

Il problema riscontrato non è esclusivo di OpenID. Qualsiasi schema di autenticazione senza password può avere questo problema. OAuth (http://oauth.net/) è una soluzione che è uno standard aperto che sta rapidamente guadagnando la trazione su molti siti web. È totalmente indipendente dal modo in cui l'utente esegue l'autenticazione, quindi il suo provider OpenID non ha il necessario per supportare o anche essere consapevole del fatto che il proprio sito (il "fornitore di servizi" in termini OAuth) utilizza OAuth. Il tuo client API può essere basato sul web o anche su un'applicazione locale!

Il processo sarebbe qualcosa di simile a questo:

ruoli:

• l'utente: qualcuno che ha un account con il tuo sito web.
• provider di servizi: il tuo sito Web, che dispone di un'API programmatica che richiede l'accesso di alcune credenziali.
• consumer: il client, sia esso un'applicazione web o locale, che necessita dell'accesso all'API del fornitore di servizi.

flusso:

1. L'utente è al consumatore. Egli indica che vuole accedere ai dati presso il fornitore di servizi.
2. L'utente viene reindirizzato (se il consumatore è un sito Web) o viene visualizzato un browser (se il consumatore è un'app locale) e l'utente vede il sito Web del fornitore di servizi.
3. L'utente ha già effettuato l'accesso al fornitore di servizi tramite un cookie persistente oppure l'utente deve prima accedere al provider di servizi, a condizione che ciò avvenga (OpenID nel tuo caso).
4. Il fornitore di servizi chiede all'utente: "Consumatore (qualche consumatore) desidera l'accesso ai dati (o alla nostra API o altro). Si desidera autorizzare questo? (Sì/no)
5. L'utente conferma e la finestra del browser si chiude o viene reindirizzato al sito Consumer.
6. Tramite un po 'di magia del protocollo OAuth, il consumatore dispone ora di una credenziale segreta che può utilizzare per accedere all'API e accedere a qualsiasi informazione utente-privato appena autorizzata.

Ovviamente non riesco a includere l'intera specifica OAuth qui, ma è possibile vedere con speranza da quanto sopra che questo dovrebbe risolvere il tuo problema. t per rendere più semplice l'aggiunta di supporto.

Se si utilizza ASP.NET, suggerisco http://dotnetopenid.googlecode.com/ come ha recentemente aggiunto il supporto OAuth (v3.0 beta 1).

Answer 2

See: questo related question

Il problema è che la specifica OpenID non ha alcuna disposizione standard per l'autenticazione con il provider, in modo che il provider può eleggere che l'autenticazione avviene tramite una telefonata o qualsiasi altra cosa.

Speriamo più fornitori embrace OAuth. In alternativa è possibile digitare l'autenticazione del codice per alcuni dei siti più grandi.

Answer 3

Quello che vuoi non è possibile con OpenID. OpenID si basa sulla premessa che tu (l'app per iPhone) vuoi solo sapere dei tuoi utenti che il loro fornitore di OpenID si fida di loro. Non si autenticano mai a te.

Buone OpenID-fornitori in realtà anche prevent che mediano il processo di autenticazione (in quanto ciò esporrebbe gli utenti a un possibile attacco - da voi!): Chiedono che gli utenti login direttamente con loro e si rifiutano login-by-rinvio.

Answer 4

Né OpenID né OAuth definiscono come un utente effettua l'autenticazione. Definiscono in che modo il consumatore indirizza l'agente utente al provider di autenticazione, in che modo viene reindirizzato l'agente utente e in che modo il consumatore può verificare l'identità autenticata dall'utente.

Il metodo effettivo utilizzato per l'autenticazione è fuori banda per entrambi gli schemi.

Esistono differenze tra OpenID e OAuth, ma entrambi richiedono che l'utente utilizzi i reindirizzamenti HTTP e gli URL di callback. Sono entrambi basati sul browser. Se la tua app parla come HTTP, può farlo. Tuttavia, un punto principale è che l'utente sta inserendo le credenziali solo in un'app di fiducia.