Что такое OIDC и как он работает?

OpenID Connect (OIDC) — это протокол аутентификации пользователей, позволяющий приложениям проверять личность пользователя с помощью сервера авторизации, обычно поверх OAuth 2.0. Он обеспечивает безопасный вход в систему, единый вход и обмен идентификационными данными пользователей путем выдачи токенов ID, подтверждающих личность пользователя, что помогает организациям упростить доступ и снизить риски безопасности, связанные с паролями.

Пароли — это сплошная путаница. VPN-сервисы не работают. SAML — это головная боль. И всё ещё сталкиваетесь с неудобными процессами авторизации или приложениями, которые не взаимодействуют друг с другом? Пришло время узнать, на что способен поставщик идентификации OIDC (OIDC IdP) и почему он становится основой современного управления идентификацией и доступом. Аутентификация OIDC — это не просто аббревиатура; она создана для скорости, безопасности и масштабируемости.

Вот почему все больше команд переходят на OIDC для подключения к модернизации идентификации и снижения риска. Независимо от того, управляете ли вы тысячами конечных точек или включаете гибридных пользователей, OIDC дает вам более чистый и умный способ управления доступом.

Хотите узнать, что такое авторизация OIDC и как работают токены OIDC? Вы попали по адресу.

Что такое OpenID Connect (OIDC)?

OpenID Connect (OIDC) — это современный протокол идентификации. Он помогает пользователям безопасно входить в систему, используя один набор учетных данных во многих приложениях и сервисах.

Думайте об этом как о безопасном переводчике между вашим приложением и системой идентификации. Когда пользователь входит в систему, срабатывает авторизация OIDC, чтобы подтвердить, кто он. Затем она отправляет обратно токен OIDC, который говорит: «Этот человек проверен».

OIDC находится поверх OAuth 2.0. В то время как OAuth — это предоставление доступа к данным, OIDC Connect — это регистрация пользователя. Он добавляет уровень идентификации к существующей структуре OAuth.

Вот почему спецификация OIDC важна:

• Он использует стандартные HTTPS и JSON, поэтому с ним легко работать.
• Его широко поддерживают такие платформы, как Google, Microsoft и Apple.
• Он работает в мобильных, облачных и локальных средах.

Чтобы понять, как работает OpenID Connect (OIDC), вам нужно знать ключевые элементы, из которых состоит система. Вот разбивка основных компонентов в любой конфигурации OIDC.

Ключевые компоненты аутентификации OIDC

1. Аутентификация: Это суть всего. Авторизация OIDC начинается, когда пользователь пытается войти в систему. Система проверяет его личность и решает, следует ли предоставить доступ. Это быстро, безопасно и создано для уменьшения трения.

2. Клиент: Приложение или сервис, к которому пользователь хочет получить доступ. Это может быть панель инструментов, инструмент SaaS или мобильное приложение. Клиент отправляет запрос на вход поставщику удостоверений OIDC и получает в ответ токен OIDC.

3. Доверяющая сторона: Другое название клиента. Он «полагается» на OIDC IdP для аутентификации пользователей и проверки личности.

4. Идентификационные токены: После аутентификации пользователя IdP отправляет обратно токен OIDC, а именно токен ID. Он включает в себя информацию о пользователе, такую ​​как адрес электронной почты, имя и время входа, все в защищенном формате.

5. Поставщики OpenID: Также называются поставщиками удостоверений OIDC или поставщиками OIDC IAM. Это доверенные службы (например, Google, Azure AD или Okta), которые обрабатывают фактический процесс входа в систему и выдают токены удостоверений.

6. Пользователи: Это ваши сотрудники, партнеры или клиенты. Они входят в систему через клиент и проходят аутентификацию через OIDC IdP. После проверки они могут получить доступ к приложениям без необходимости запоминать множество паролей.

OpenID Connect против OpenID 2.0

OIDC Connect упрощает настройку OIDC, повышает безопасность и поддерживает те современные приложения, которые использует ваша команда. OIDC Connect обеспечивает более строгий контроль, более удобный вход в систему и улучшенную поддержку на разных платформах.

Почему это важно: Если ваша текущая настройка все еще использует OpenID 2.0, вы используете устаревшую технологию. Это может привести к проблемам безопасности, плохой интеграции и плохому пользовательскому опыту.

Итог: OIDC Connect — это не обновление, а полная замена.

Пошаговое объяснение потоков OIDC (код авторизации, неявный, гибридный)

Потоки OIDC — это различные способы аутентификации пользователя. Каждый поток предназначен для определенного варианта использования: веб-приложения, мобильные приложения, API или гибриды. В основе каждого потока лежит простая цель: аутентифицировать пользователя, безопасно выдать токены OIDC и предоставить доступ, не рискуя учетными данными.

Ваш поставщик IAM OIDC поможет выбрать правильный поток на основе вашей архитектуры. Сделайте правильный выбор, и вы заблокируете входы без замедляя работу пользователей.

1. Поток кода авторизации

Код авторизации = безопасный и предпочтительный

Это наиболее распространенный и безопасный поток. Вот как это работает:

• Пользователь нажимает «Войти».
• Приложение перенаправляет их к поставщику удостоверений OIDC (OIDC IdP).
• После входа в систему IdP отправляет код авторизации обратно в приложение.
• Приложение обменивает этот код на токен OIDC (ID + токен доступа).

Используйте его, когда: Вы создаете веб-приложение, которое может надежно хранить секреты на внутреннем сервере.

2. Поток аутентификации

Аутентификация = добавляет уровень идентификации

OIDC построен на OAuth 2.0, но он добавляет идентификацию поверх. Поток аутентификации — это то, где OIDC connect действительно сияет — он проверяет кто пользователь и возвращает токен ID вместе с другими токенами OIDC.

Используйте его, когда: Вас волнует не только доступ, но и подтверждение личности. Этот поток является частью спецификации OIDC.

3. Неявный поток

Неявный = наследие и риск

Этот поток отправляет токены OIDC напрямую в браузер без обмена кодами.

Используйте его, когда: Вы создаете публичное приложение с большим объемом JavaScript, которое не может хранить секреты.

Берегись: Теперь это не рекомендуется из-за рисков безопасности. Современные приложения должны использовать вместо этого код авторизации с PKCE.

4. Гибридный поток

Гибрид = гибкий, но сложный

Хотите и скорость, и сильный контроль? Гибридный поток дает вам токены и код аутентификации за один раз.

Используйте его, когда: Вам нужна большая гибкость, например, возможность входа в систему через Интернет и использования сеанса в мобильном приложении.

Как работает OIDC?

Вот краткая версия: OpenID Connect (OIDC) позволяет вашему приложению доверять другой системе, поставщику удостоверений OIDC (OIDC IdP), для обработки входов и подтверждения того, кто является пользователем. В вашем приложении не хранятся пароли. Но давайте рассмотрим, что на самом деле происходит в бэкэнде.

Шаг за шагом: поток OIDC в ​​действии

Допустим, пользователь хочет войти в вашу внутреннюю панель управления. Вот что происходит за кулисами:

1. Пользовательские клики «Войти». Приложение (также известное как проверяющая сторона) отправляет их в OIDC IdP, например Azure AD или Okta.
2. OIDC IdP выполняет аутентификацию. Пользователь входит в систему, может быть с паролем или с использованием биометрии, MFA или даже паролей. Здесь включается поток авторизации OIDC.
3. IdP отправляет код авторизации обратно в приложение. Это временный код, подтверждающий, что пользователь успешно прошел аутентификацию.
4. Приложение обменивает код на токены. Приложение вызывает конечную точку токена IdP, чтобы получить:
   • Идентификационный токен (кто пользователь)
   • Маркер доступа (к чему они могут получить доступ)
   • (Необязательно) Токен обновления (для поддержания сеанса без повторного входа в систему)
5. Токены проходят проверку. Приложение проверяет подпись каждого токен OIDC чтобы убедиться, что он легитимен. Он также может проверить одноразовый номер, область действия и время истечения срока действия.
6. Пользователь получает доступ. Теперь приложение доверяет предоставленной идентификации и предоставляет пользователю доступ к нужным ресурсам.

Почему это важно для специалистов по безопасности и ИТ-администраторов?

• Больше никаких лишних паролей. Пользователи не создают новые пароли для каждого приложения. Вместо этого вы централизуете входы через поставщика IAM OIDC.
• Улучшается видимость конечной точки. Вы можете отслеживать, кто, откуда и когда получил доступ, поскольку каждый запрос на вход проходит через IdP.
• Сеансы основаны на токенах. Если токен украден, вы можете его отозвать. Если сеанс выглядит рискованным, вы можете его прервать. Токены быстро истекают, что снижает риск.
• Администраторы контролируют конфигурацию. При правильной конфигурации OIDC вы решаете, какие данные будут поступать в идентификационный токен, как долго токены будут действовать и какие области действия могут запрашивать приложения.
• Встроенная многофакторная аутентификация и условный доступ. Ваш поставщик удостоверений OIDC может обеспечить более высокий уровень безопасности на основе данных об устройстве, местоположении или сигналах риска без изменения кода приложения.

OIDC создан для масштабирования

Независимо от того, управляете ли вы сотнями конечных точек, OIDC Connect масштабируется чисто. Вы можете:

• Добавляйте новые приложения, не переписывая логику входа
• Установите согласованные политики с одной панели управления
• Управляйте идентификацией в гибридных или многооблачных средах

Примеры OIDC

1. Единый вход в корпоративное приложение с Azure AD
Гигант розничной торговли использует Azure AD в качестве поставщика удостоверений OIDC (OIDC IdP). Они хотят обеспечить безопасный единый вход (SSO) для внутренних инструментов, HR-систем, панелей управления, платформ разработки.

Вот как это работает:

• Azure AD обрабатывает вход через авторизацию OIDC.
• После аутентификации приложение получает идентификационный токен и токен доступа.
• Администраторы могут контролировать уровни доступа с помощью конфигурации OIDC (группы, области действия, роли).

Почему это работает: Никакого хранения паролей. Централизованная идентификация. Легкое отслеживание сеансов.

2. Вход в мобильное приложение с помощью Google OIDC
Для мобильного приложения необходим безопасный вход с идентификацией, привязанной к аккаунтам Google.

Вот как это работает:

• Приложение использует поток кода авторизации с PKCE.
• Google, выступая в качестве поставщика IAM OIDC, аутентифицирует пользователя.
• Приложение получает набор токенов OIDC с информацией о пользователе.

Почему это работает: Встроенная 2FA. Надежная идентификация. Вашему приложению не нужно обрабатывать конфиденциальные данные входа.

3. Гибридная среда с Scalefusion OneIdP и локальными приложениями
Вы управляете гибридной настройкой, облачными приложениями, такими как M365 или Salesforce, а также локальными инструментами, на которые ваши команды все еще полагаются. Вам нужен единый вход и более сильный контроль доступа в обоих случаях.

Вот как это работает:

• Scalefusion OneIdP выступает в качестве центрального поставщика удостоверений OIDC (OIDC IdP).
• С помощью OIDC Connect можно подключать как облачные, так и локальные приложения.
• Для старых приложений используйте SAML-мост или пользовательские коннекторы.
• Конфигурация OIDC определяет, какие пользователи к чему получают доступ и при каких условиях.

Почему это работает: Вы получаете современный управление идентификацией без необходимости сносить ваш старый стек. Один вход в систему для всех систем, централизованное управление и детальная видимость сеансов пользователей.

4. Доступ сторонних поставщиков
Партнеру по логистике необходим доступ к порталу отчетности, но вы не хотите управлять его учетными данными.

Вот как это работает:

• Вы настраиваете федеративную идентификацию, используя OIDC-подключение к своему IdP.
• Вы получаете проверенные токены OIDC от их провайдера.
• Доступ ограничен и является временным с использованием правил конфигурации OIDC.

Почему это работает: Никаких общих паролей. Полный аудиторский след. Легкий отзыв.
Эти реальные примеры показывают, как спецификация OIDC адаптируется к различным средам, обеспечивая при этом жесткий контроль, лучшую безопасность и более плавный вход в систему.

OIDC против SAML против OAuth 2.0

OIDC не появился в вакууме. Он был создан для исправления реальных проблем со старыми протоколами идентификации. Вот как он выглядит по сравнению с двумя наиболее распространенными альтернативами: SAML и OAuth 2.0.

OIDC против SAML

SAML (язык разметки утверждений безопасности) основан на XML и создан в основном для веб-ориентированного SSO. Он существует уже некоторое время, особенно в крупных корпоративных средах, но он показывает свой возраст.

OIDC против SAML: основные различия объяснены

• Формат: OIDC использует облегченный JSON. SAML использует громоздкий XML.
• Интеграция: OIDC проще и быстрее реализовать в современных стеках.
• Мобильная поддержка: OIDC хорошо работает с мобильными приложениями и API; SAML — нет.
• Модель токена: OIDC использует гибкие токены ID, доступа и обновления. SAML использует подписанные утверждения, которыми сложнее управлять.
• Безопасность: OIDC поддерживает nonce, PKCE и встроенное истечение срока действия токена. SAML часто полагается на пользовательскую логику для соответствия этому.
• Преимущество безопасности: Спецификация OIDC включает более современные встроенные средства контроля безопасности. Это означает меньше ручных исправлений и меньше слабых мест, которые могут использовать злоумышленники.

OIDC против OAuth 2.0

Это сбивает с толку многие команды. Но вот ключ:

• OAuth 2.0 обрабатывает разрешение (кто к чему может получить доступ).
• OIDC Connect добавляет идентификация (кто пользователь).

Вам не нужно выбирать. OIDC построен на OAuth 2.0, который добавляет слой для получения идентификационных данных с использованием токенов ID.

Почему это важно для ИТ: OAuth сам по себе не может вам сказать кто пользователь. Это отлично подходит для доступа к сторонним API. Но если вам нужна информация о пользователе (имя, email, сеанс), вам нужны токены OIDC.

Вердикт:Если вы все еще полагаетесь на SAML или LDAP в одиночку вы оставляете гибкость и безопасность на столе. Конфигурация OIDC позволяет вам работать умнее, быстрее адаптироваться и масштабироваться без трений.

Преимущества аутентификации OIDC

OpenID Connect (OIDC) создан для того, как на самом деле работают современные ИТ-команды. Независимо от того, пытаетесь ли вы снизить риск, эффективнее управлять доступом или безопасно масштабировать, конфигурация OIDC дает вам гибкость, чтобы сделать это правильно. Она помогает вам защитить доступ, контролировать сеансы и снизить сложность, не замедляя никого.

Вот что вы на самом деле получаете, перейдя на OIDC Connect:

1. Снижает риск кражи паролей: С авторизацией OIDC пользователи проходят аутентификацию через доверенного поставщика удостоверений OIDC (OIDC IdP). Это означает отсутствие хранения паролей внутри ваших приложений, отсутствие повторного использования в разных системах и меньшую подверженность взлому.

2. Стандартизированная аутентификация: Спецификация OIDC основана на OAuth 2.0, используя проверенные стандарты, такие как HTTPS и JSON. Она заменяет беспорядочную, непоследовательную логику аутентификации одной чистой моделью в вашей среде.

3. Оптимизирует управление идентификацией: Когда вы централизуете идентификацию с поставщиком IAM OIDC, вы сокращаете накладные расходы на управление несколькими учетными данными, ролями и путями входа. Это упрощает проверку регистрации, деактивации и соответствия.

4. Усиливает контроль безопасности: Вы контролируете, что попадает в каждый токен OIDC, как долго длятся сеансы и какие области приложения могут запрашивать. Такие функции, как PKCE, nonce и проверка токенов, дают вам инструменты для предотвращения кражи токенов и атак с повторным воспроизведением.

5. Удобный пользовательский опыт: Пользователи входят в систему один раз и получают доступ к тому, что им нужно, на всех устройствах, в приложениях и сетях. Никаких запутанных перенаправлений. Никаких дополнительных паролей. Только один безопасный, быстрый поток, встроенный в вашу конфигурацию OIDC.

Предварительные условия перед принятием аутентификации OIDC

Развертывание OpenID Connect (OIDC) — это не просто переключение переключателя. Умная реализация подразумевает размышления о безопасности, масштабировании и о том, как ваши приложения взаимодействуют с поставщиком удостоверений OIDC (OIDC IdP). Но перед тем, как разворачивать OpenID Connect (OIDC), разумно оценить вашу среду.

Тщательный план поможет вам избежать слепых зон и максимально использовать вашу конфигурацию OIDC. Вот что нужно проверить перед началом работы с поставщиком IAM OIDC:

а) Готовность к обеспечению безопасности

• Обработка токенов: Могут ли ваши системы правильно хранить, проверять и истечь срок действия токенов OIDC?
• TLS везде: Все потоки OIDC зависят от безопасного HTTPS.
• Управление сеансом: Вам понадобится способ обнаружения и отмены рискованных сеансов.

б) Возможности интеграции

• Могут ли ваши приложения обрабатывать перенаправления, области действия и анализ токенов?
• Умеют ли ваши команды разработчиков работать со структурами JSON, OAuth 2.0 и ID-токенов?
• Поддерживает ли ваш текущий стек современные потоки OIDC Connect или вам понадобятся обходные пути?

в) Зависимость от поставщика

• Выбираете ли вы поставщика с надежной поддержкой и соглашениями об уровне обслуживания (SLA) по времени бесперебойной работы?
• Предлагает ли ваш OIDC IdP простой доступ к API, журналы аудита и гибкость конфигурации?
• Может ли он работать в гибридных средах и устаревших системах?

10 лучших практик внедрения OIDC

1. Используйте поток кода авторизации с PKCE: Всегда выбирайте поток кода авторизации с PKCE для публичных клиентов. Он защищает от атак внедрения кода и перехвата, особенно в мобильных и браузерных приложениях.

2. Проверить все токены OIDC: Не думайте, что токен безопасен. Всегда проверяйте:

• Подпись - Signature
• эмитент
• Аудитория
• Время истечения 

Это гарантирует, что токен OIDC не был подделан или изменен.

3. Регулярно меняйте клиентские секреты: Относитесь к секретам как к учетным данным. Меняйте их по расписанию, используйте уникальные секреты для каждого клиента и храните их в безопасности.

4. Установите строгие сроки действия токенов.: Короткоживущие токены уменьшают ущерб, если один из них будет раскрыт. Используйте токены обновления со строгой политикой повторного использования, когда сеансы должны длиться дольше.

5. Строго определите область действия: Контролируйте, к чему каждое приложение может получить доступ. Используйте узкие области в конфигурации OIDC, только то, что требуется, ничего больше.

6. Реализуйте проверки случайных чисел: Значения nonce предотвращают атаки повторного воспроизведения в потоке авторизации OIDC. Всегда проверяйте nonce, возвращаемый в токене ID, на соответствие тому, что было отправлено в запросе.

7. Ограничьте перенаправление URI: Заблокируйте URI перенаправления только для того, что необходимо. Не допускайте подстановочных знаков. Это помогает остановить вредоносные перенаправления и перехват токенов.

8. Контролируйте и проверяйте каждый вход в систему: Используйте журналы от вашего поставщика IAM OIDC для отслеживания входов, предоставления токенов и использования области. Отмечайте аномалии в местоположении, устройстве или частоте.

9. Планирование ротации ключей.: Используйте JWKS (JSON Web Key Sets) и автоматическую ротацию ключей для управления открытыми ключами, используемыми для проверки токенов. Не полагайтесь на статические ключи.

10. Тестирование и повторное тестирование потоков OIDC: Запустите моделирование угроз и протестируйте, как каждый поток OIDC Connect работает под давлением. Проверьте, что происходит, когда токены истекают, используются повторно или неправильно настроены.

Совет для ИТ-администраторов: большинство этих функций встроены в такие провайдеры, как Scalefusion OneIdP, но вам все равно придется правильно их настраивать и контролировать.

Scalefusion OneIdP для реализации аутентификации OIDC

Scalefusion OneIdP Переносит мощь OIDC Connect на платформу, созданную для современных ИТ- и SecOps-команд. Он поддерживает стандартные потоки авторизации OIDC, обеспечивая бесшовную интеграцию как с новыми, так и с устаревшими системами. 

Разработанный для совместимости, OneIdP помогает организациям заменить фрагментированные методы входа на унифицированный уровень идентификации, который масштабируется безопасно между приложениями, платформами и устройствами. OneIdP может выступать как поставщик идентификации OIDC (OIDC IdP) и поставщик IAM OIDC, поддерживая такие функции, как:

• Поток кода авторизации с PKCE
• Выпуск и управление токенами OIDC (идентификация, доступ, обновление)
• Интеграция внешнего метода аутентификации Microsoft
• Поддержка общего сигнала для федеративных входов Apple

Контекстный OIDC — это не будущее состояние. С Scalefusion OneIdP это то, как безопасный доступ осуществляется путем проверки доверия устройств и соответствия в реальном времени.

Обеспечьте безопасность и упростите аутентификацию OIDC с помощью OneIdP.

Зарегистрируйтесь для 14-дневной пробной версии прямо сейчас.

Забронировать демонстрацию

Часто задаваемые вопросы (FAQ)

1. Что такое OIDC и безопасен ли OIDC?

Да. Спецификация OIDC основана на OAuth 2.0 и добавляет защищенный уровень идентификации OIDC. Она поддерживает надежное шифрование, проверку токенов и защиту от распространенных угроз, таких как повторное воспроизведение токенов. При правильной реализации обработка токенов OIDC обеспечивает безопасную аутентификацию на веб-, мобильных и облачных платформах.

2. Почему разработчикам следует использовать OIDC?

OpenID Connect (OIDC) упрощает интеграцию удостоверений. С помощью всего нескольких конечных точек и стандартизированной конфигурации OIDC разработчики получают аутентификацию, единый вход и информацию о пользователе от доверенного поставщика удостоверений OIDC (OIDC IdP). Он работает в приложениях и на устройствах, поддерживает федерацию и легко масштабируется для современных вариантов использования IAM.

3. Чем OpenID Connect отличается от OpenID 2.0?

OIDC — это современный протокол, построенный на OAuth 2.0, в отличие от OpenID 2.0, который предшествовал ему и не имеет авторизации на основе токенов. OIDC представляет токен ID, стандартизированные пользовательские утверждения и поддержку REST/JSON. Он проще в реализации и гораздо более безопасен, что делает его предпочтительным выбором поставщика IAM OIDC.

4. Как OpenID Connect связан с Альянсом FIDO?

По сути, OIDC и FIDO дополняют друг друга. OIDC Connect обрабатывает федеративную идентификацию и авторизацию сеансов, в то время как FIDO фокусируется на беспарольном, защищенном от фишинга входе. Вместе они усиливают аутентификацию: FIDO обеспечивает безопасность входа; авторизация OIDC безопасно делится данными идентификации с полагающимися приложениями.

5. Является ли OIDC более безопасным, чем SAML?

Да, в большинстве современных вариантов использования. OIDC использует кратковременные токены OIDC, поддерживает лучшую мобильную совместимость и избегает рисков парсинга на основе XML, наблюдаемых в SAML. Он дружелюбен к API и соответствует современной архитектуре приложений, что делает конфигурацию OIDC менее подверженной ошибкам и более безопасной.

6. Почему следует использовать OIDC вместо SAML или LDAP?

OIDC создан для облака, API и мобильных устройств. В отличие от SAML, он использует JSON и REST. В отличие от LDAP, он разработан для федеративной идентификации и не требует прямого доступа к каталогу. С доверенным OIDC IdP вы получаете современную, децентрализованную обработку идентификации, которая масштабируется между приложениями.