O auth2 e open id connect

OAuth 2.0 and OpenID Connect presentation

1. OAuth2 e OpenID Connect Segurança de Aplicações Modernas e novas oportunidades de negócios

2. OAuth2 and OpenID Connect Modern Applications Security and new business opportunities

3. O que é OAuth2 Protocolo de autorização para aplicações modernas Emite tokens em troca de uma credencial O token representa uma conjunto de permissões O token dispensa o compartilhamento da credencial

4. What is OAuth2 Authorization protocol used by modern applications Issue tokens in change for credentials The token represents a permission set The token dismiss the password sharing

5. O que é OpenID Connect Extensão de OAuth2 Autenticação: Utiliza o modelo OAuth para conhecer o usuário se a identidade do usuário for necessária

6. What is OpenID Connect An OAuth2 extension Authentication: Utilizes the OAuth2 way to know the user’s identity if necessary

7. Exemplos: Uma conferência em um hotel Um hóspede apresenta o número de reserva e sua identificação no saguão. Recebe um cartão (token de acesso) que permite entrar em locais protegidos (o quarto nº 1220, o salão de jogos, a academia…) e um crachá com o seu nome e algumas informações (token de identificação) para uso na conferência. O cartão de acesso: Token de Acesso (OAuth2) O crachá: Token de Identificação (OpenID Connect)

8. Example: An conference in an Hotel An guest presents your ID in the lobby. Receives an card (access token) that allow access in protected areas (room number 1220, game room, the gym…) and name badge with some personal informations (Identification Token). The card: Access Token (OAuth2) The name badge: Identification Token (OpenID Connect)

9. OAuth2 - Papéis Dono do Recurso: Um ser humano, um aplicativo, uma coisa. Cliente: Um aplicativo consumidor de API Web. Servidor de Recursos: Uma API web Servidor de Autorização: Quem autêntica , autoriza e emite tokens;

10. Tokens Credenciais para os Servidores de Recursos Emitidos pelo Servidor de Autorização Single Sign On (SSO) - Autenticação Centralizada Possuem um escopo bem definido de utilização Contém alegações (informações sobre o usuário ou autorização) São assinados pelo Servidor de Autorização (podem ser validados) Expiram (possuem limite de tempo para utilização) Em geral no formato JWT (multi plataformas)

11. Token - Exemplo: { “sub”: “ [email protected] ”, “aud”: “aplicativoX”, “iss”: “ https://oauth.bb.com.br/oauth ”, “exp”:13118256723, // 30/01/2017 às 18:02 “iat”: 13118251223, // 20/12/2016 às 16:00 “scope”: “consultas-financeiras.extratos”, “contas-autorizadas”:[{“agencia” : 1234, “conta”: 112345},{“agencia”: 3444,”conta”: “654321”}}] }

12. OpenID Connect - Extras Token de Identificação - (Escopo openid) Informações adicionais do usuário - Endpoint /userInfo profile, email, address, phone, creditRisk, yearsProfits, accounts, ...