Autorisierung und Authentifizierung in Microserviceumgebungen

Bernd Schönbach, Bonn Agile Meetup 2. Mai 2017

Überblick

2Autorisierung und Authentifizierung in Microserviceumgebungen – Bonn Agile 2017 – Bernd Schönbach – LeanIX

• Was ist das Problem?

• Und wie helfen uns jetzt JSON Web Tokens dabei?

• Was sind denn jetzt eigentlich diese Tokens?

• Beispiele

• Mind the gap

• JWS vs. JWE

• Kritische Betrachtung

Was ist das Problem?

Und wie helfen uns jetzt JSON Web Tokens dabei?

Typischer Auth Flow

Auth Service

Microservice 2

Microservice 1

Microservice 3

LoginOAuth Token Rückgabe

Requests mit Token

Typischer Auth Flow

Auth Service

Microservice 2

Microservice 1

Microservice 3

Prüfe Oauth Validität

Requests mit Token

Typischer Auth Flow

Auth Service

Microservice 2

Microservice 1

Microservice 3

Prüfe Oauth Validität

Requests mit Token

AuthService

Und jetzt mit JWT

Auth Service

Microservice 2

Microservice 1

Microservice 3

JWT wird zurückgegebenSende Requests mit Token

Und jetzt mit JWT

Auth Service

Microservice 2

Microservice 1

Microservice 3

JWT wird zurückgegeben

Prüfe Token

Sende Requests mit Token

Und jetzt mit JWT

Auth Service

Microservice 2

Microservice 1

Microservice 3

JWT wird zurückgegeben

Prüfe Token

Sende Requests mit Token

Was sind nun also JSON Web Tokens?

Was sind JSON Web Tokens (JWT)?

RFC 7519: “JSON Web Token (JWT) is a compact, URL-‐safe means of representing claims to be transferred between two parties.”

Zwei Varianten

JSON Web Signature JSON Web Encryption

JSON Web Signature (RFC 7515)

Drei Bestandteile

1. Header

2. Payload (Claims)

3. Signatur

JWS - Header

"alg": "HS256",

"typ": "JWT“

"alg": "HS256",

"typ": "JWT“

Bespielwerte:

• HS256• RS256• ES256

Spezialfall:

• none

JWS - Payload

- Enthält Informationen- Zum Beispiel

- Aussteller (iss)- Ablaufdatum (exp)- Empfänger (sub)- Features- Permissions- …

{ "iss": "auth-service-1","name": "John Doe","admin": true,"exp": 1487325600

Bitte so wenig wie nötig mitschicken, um das Token klein zu halten

JWS - Signatur

HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload), secret

• Verifiziert Herausgeber und Inhalt des JWS Token

• Signatur enthält Header und Payload

JWS Beispiel

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

Header: { "alg": "HS256", "typ": "JWT"}

Payload: {

"sub": "1234567890","name": "John Doe","admin": true

Signatur: HMACSHA256(

base64UrlEncode(header) + "." + base64UrlEncode(payload),

secret)

JSON Web Encryption (RFC 7516)

• Transportiert ähnliche Informationen

• Alle Daten werden verschlüsselt

• Verschlüsselung nutzt Salt, um Erratbarkeit zu minimieren

Beispiele

JWS Erstellung in Java

public String createJwt(User loggedInUser) {JwtBuilder builder = Jwts.builder().setSubject(loggedInUser.getUsername()).claim(„payload“, loggedInUser.getPayload()).setId(loggedInUser.getId()).setExpiration(calculateExpirationTime());

return builder.signWith(SignatureAlgorithm.RS256, privateKey

).compact();

JWS Prüfung in Java

Claims claims = Jwts.parser().setSigningKey(publicKey).parseClaimsJws(accesTokenString).getBody();

Wichtig!:- Überprüfe immer, ob der Erwartete Algorithmus benutzt wird

- “none” alg header darf nicht zu fehlender Prüfung führen!

https://auth0.com/blog/critical-vulnerabilities-in-json-web-token-libraries/

JWS Benutzung in Java mit Dropwizard

@Overridepublic Optional<User> authenticate(String accessToken) {if (accessToken == null)return Optional.absent();

OAuth2Token token = this.parser.parse(accessToken);return Optional.fromNullable((User) token.getPrincipal());

Authenticator Klasse anpassen:

@Auth Annotation nutzen:

public Response getX(@Auth @ApiParam(access="internal") User user

){[…]

JWS Libraries

Libraries existieren für nahezu alle Programmiersprachen:

• .NET• Pyhton• Node.js• Java• JavaScript• Perl• Ruby• Elixir• Go

• Haskell• Rust• Lua• Scala• D• Clojure• Objective C• Swift• C

• Kdb+/Q• Delphi• PHP• Crystal• …

Kleiner Vergleich zwischen JWS und JWE

JSON Web Encryption (JWE)

• Der Nutzer kann die Daten nicht lesen

• Man kann potentiell geheime Informationen verschicken

• Daten liegen beim Nutzer

• Theoretisch unendlich viel Zeit zum Knacken der Encryption

• Potentiell geheime Informationen werden verschickt

• Erzeugt Gefühl von Sicherheit beim Entwickler

JSON Web Signature (JWS)

• Alles ist lesbar durch den Nutzer

• Entwickler werden zur Datensparsamkeit “erzogen”

• Debugging ist einfach möglich

• Alles ist lesbar durch den Nutzer

• Mögliche Informationen können nicht verschickt werden

Shared Secret vs.

Private/Public Key

Shared Secret Verfahren

Auth Service

Microservice 2

Microservice 1

Microservice 3

Private Key

Shared Secret Verfahren

Auth Service

Microservice 2

Microservice 1

Microservice 3

Private Key

Auth Service

Private/Public Key Verfahren

Microservice 2

Microservice 1

Microservice 3

Private Key

Public Key

Auth Service

Microservice 2

Microservice 1

Microservice 3

Private Key

Public Key

Auth Service

Microservice 2

Microservice 1

Microservice 3

Private Key

Public Key

Shared Secret vs. Private/Public Key

Pro Private / Public Key

• Nur der Public Key wird verteilt

• Nur der Auth-Service benötigt deutlich erhöhte Sicherheit

• Wenn der Private Key kompromitiert wird, ist ein einfacher

Schlüsselaustausch möglich

Pro Shared Secret• Nur ein Schlüssel benötigt, der an alle Services verteilt wird

Mind the gap

Don’ts:• Niemals Passwörter im JWT verschicken

• auch nicht gehasht…• Man hat keine Kontrolle über den Ort des JWT• Token nicht mit dem Auth-Service validieren

Dos:• Immer Token prüfen (checksum)• So viele Daten wie nötig, aber so wenige wie möglich

verschicken

Kritische Betrachtung

Kritik

Autorisierung und Authentifizierung in Microserviceumgebungen – Bonn Agile 2017 – Bernd Schönbach – LeanIX

Hauptpunkte des Paragonie Blogposts:

• Fehlerhafte Überprüfung des Headers liegt am Standard

• Vorgegebene Algorithmen für JWE anfällig für Angriffe

Kritik

Hauptpunkte der „joepie91's Ramblings“ Posts:

• Sie verbrauchen mehr Platz• Sie sind unsicherer• Man kann individuelle Tokens nicht invalidieren• Daten können veralten• Implementierungen sind nicht „kampferprobt“• Es gibt doch schon Sessions

Zusammenfassung

• Erlaubt die lose Kopplung von Microservices

• Sicherer Transfer von Autorisierungs- und Authentifizierungsinformationen

• Anwendungen im Single Sign On Bereich möglich

• Einfach zu implementieren auf Grund der Libraries

Danke(and yes we are hiring)

https://www.leanix.net/de/jobs

Quellen

• https://tools.ietf.org/html/rfc7519 RFC for JWT

• https://tools.ietf.org/html/rfc7518 RFC for JWA (used in JWS and JWE)• https://jwt.io/• https://www.leanix.net/

• Devil Smiley CC BY 4.0 https://www.creativetail.com

• Weitere Artikel zum Thema JWT:• https://blog.codecentric.de/2016/11/json-web-token-jwt-im-detail/• https://medium.facilelogin.com/jwt-jws-and-jwe-for-not-so-dummies-b63310d201a3

• https://paragonie.com/blog/2017/03/jwt-json-web-tokens-is-bad-standard-that-everyone-should-avoid

• http://cryto.net/~joepie91/blog/2016/06/13/stop-using-jwt-for-sessions/• http://cryto.net/~joepie91/blog/2016/06/19/stop-using-jwt-for-sessions-part-2-why

-your-solution-doesnt-work/

Autorisierung und Authentifizierung in Microserviceumgebungen

Technology

Transcript of Autorisierung und Authentifizierung in Microserviceumgebungen

2 Faktor Authentifizierung - WordPress Login absichern

SMS PASSCODE: Authentifizierung per Handy

Herausforderungen des Identity Management an Hochschulen · Passwort Management (5) Autorisierung und Access Management Autorisierung (6) Webportal User Self-Service, (De-)Zentrale

Leitfaden Microsoft 365 im Bildungsbereich€¦ · Microsoft 365 bietet grundsätzlich drei Arten der Authentifizierung: – Verwendung der integrierten Microsoft 365-Authentifizierung

Externalisierte Autorisierung mit XACMLalt.java-forum-stuttgart.de/jfs/2012/folien/E6.pdf · 2012. 5. 7. · © iC Consult GmbH - 05.07.2012 - Stefan Bohm Externalisierte Autorisierung

Die Technik des Service Provider 2. Shibboleth-Workshop Freiburg, 23. März Dr. Jochen Lienhard AAR Projekt UB Freiburg Authentifizierung, Autorisierung.

Datenbank-gestützte Authentifizierung und Autorisierung von Web … › docs › WEBauthentication.pdf · 2008-12-16 · Version 10-2005 ©Database Consult GmbH - Jachenau Folie

Systeme II - portal.uni-freiburg.de · - Kryptographie und deren vielfältige Einsatzmöglichkeiten - Authentifizierung - Message Integrity ! Sicherheit in der Praxis - Firewalls

Komfortable 2-Faktor-Authentifizierung...Warum 2-Faktor-Authentifizierung Häufigste Angriffsformen 1. Malware 2. Angriffe auf Passwörter 3. Phishing 4. Man in the Middle 5. Sniffing

Walter Langmann Sichere Authentifizierung von W-LAN in einer Windows 2003 Server Umgebung 5AIH Diplomarbeit im Fach Technische Informatik.

Authentifizierung und Autorisierung mit Shibboleth in der ...€¦ · Schweizer Föderation SWITCH-AAI zur Verfügung und konnten in relativ kur zer Zeit auf deutsches Vertragsrecht

Zertifikate für Authetizität, Authentifizierung oder beides?

Moodle BelWü LDAPS Authentifizierung ZPN · Moodle BelWü LDAPS Authentifizierung ZPN Zentrale Projektgruppe Netze am Ministerium für Kultus, Jugend und Sport Baden-Württemberg

Zugriffskontrolle für Server Wallets€¦ · In Zukunft werden sich neue Verfahren unter Verwen-dung von Mobiltelefonen etablieren. Autorisierung Die Autorisierung ist die Zahlungsfreigabe

Die Informationen in diesem Artikel beziehen sich auf ... · Authentifizierung für das Regelwerk über eine RADIUS (Remote Access Dial In Service) Verbindung einzurichten. Die Microsoft

2-Faktor Authentifizierung beim EPD - temet.ch · • 2-Faktor Authentifizierung (2FA) bezeichnet Verfahren, die einen Faktor „Haben“ mit einem Faktor „Wissen“ (Passwort oder

Grundlagen der entfernten Authentiﬁzierung und Autorisierung: Kerberos · 2010-07-27 · Grundlagen der entfernten Authentiﬁzierung und Autorisierung: Kerberos Proseminar Konzepte

Authentifizierung, Autorisierung und Rechteverwaltung Autorisierung und Zugriffskontrolle in Shibboleth: Attribute Definition, Weitergabe, Verarbeitung.

Apache Authentifizierung am LDAP-Server

Das Projekt AAR Authentifizierung, Autorisierung und Rechteverwaltung Ato Ruppert, Franck Borel UB Freiburg.