SOA - 認証サービス設計

Question

私はサービス指向アーキテクチャを設計しており、クライアントを認識してリソースにアクセスできるようにするために認証サービスも必要です。 pubkeyでとのPrivateKey

を用いpubkeyでとのPrivateKey

トークンベースの認証を使用して、各単一の要求は、私がのOAuth2を想定していないよ

• 記号：

  は実際に私は2つの可能な解決策を見つけました私のニーズに合わせてシステムを設計するにはあまりにも多くのオーバーヘッドを追加することになるため、より単純な（しかし強力な）認証ソリューションを採用することを好む。

  ここで私は、APIリクエスト（リクエストと一緒に渡すトークンを取得する）によってクライアントに照会されるか、または各単一のAPIエンドポイントによって照会されて、HMACの逆チェックを実行するかのどちらかを問わず、AuthenticationService一致するかどうかを確認する要求に署名した（HMACを生成するために使用された秘密鍵が有効かどうかを確認する）。

  私はいくつかの操作を行い、最終的な開発者のための簡単であるために、最新のを見ることができますが、それはまた、トークンを検証し、それが有効期限です処理するために多くのチェックが必要になります...

  何潜在的なセキュリティ上の問題

  でしトークンソリューション単一要求のHMACはそうではないと提起するか？あなたは何を好きですか、おそらく理由は何ですか？

Answer 1

最終的に私は同じAmazonソリューションに基づく認証サービスを設計しました。 ユーザーは、秘密鍵を使用して各要求に署名する必要があります。したがって、リクエストは、 "PUBKEY：SIGNATURE"という値を持つAuthorizationヘッダーを送信します。このシグネチャは、Dateヘッダーの内部で渡される任意のリクエストデータ（リクエスト本体そのもの）とタイムスタンプで構成されたHMACです。この実装は、MITMとリプレイ攻撃を回避するのに十分強力です。

hereは実際の実装を理解するのに役立つ素晴らしい説明です。

これは本当に同じ問題に直面している世界中の誰かを助けることを願っています。