backend security

OpenIdConnect WIP

ASPNET 보안 라이브러리

• 단순화 된 ASPNET 보안 라이브러리.
• 처음부터 ASPNET 보안 라이브러리에서 다시 작성했습니다.
• "가벼운"기능 스타일 라이브러리 [90% OOP 프리].

보안 라이브러리

• Authentication.Cookies.
• 인증 .facebook.
• Authentication.google.
• 인증 .twitter.
• 인증.
• 인증 .oAuth2.
• Authentication.openidConnect.
• 권한 부여.
• 데이터 혈관.

설계

• 보안 서비스 [인증 및 인증 서비스]는 메커니즘 백본을 나타냅니다.
• 보안 서비스 [ 고급 기능]은 보안 행동 컨트롤러 역할을하며 공개 API를 대표합니다.
• 보안 라이브러리는 일부 FP 원칙 [순수 함수, 고차 기능, 불변성, 데이터/행동 분리, 정적 방법/기능, 일류 시민, 결과 패턴]에 따라 작성되었습니다.
• DI는 일반적으로 기능 보안 서비스를 통해 얇은 층 으로 사용됩니다 [예 :. SignIncookie 에는 DI 서비스가 있거나없는 2 개의 구현이 있습니다]. DI 서비스 구현은 특정 메소드 확장을 통해 평소와 같이 등록됩니다 [예 :. AddCookiesservices , addfacebookservices ].
• 보안 메커니즘은 보안 서비스를 기반으로합니다 [인증 체계 프리 메커니즘] :
  • 인증 미들웨어는 인증 서비스를 Param [ useAuthentication Extension]으로 수신합니다.
  • 권한 부여 미들웨어는 챌린지를 받고 서비스를 매개 변수로 금지합니다 [ useauthorization extension].
  • Oauth 콜백 엔드 포인트 는 Param [Eg. Mapfacebook ].
• 인증 라이브러리는 특정 인증 서비스를 구현합니다. AuthenticateCookie , SignIncookie , ChallengeGoogle , AuthenticateFacebook ].
• 승인 도서관 구현 인증 서비스 [예 :. 승인 ].
• 높은 수준의 기능은 일반적으로 선언적 스타일을 사용합니다 [예 :. SignIncookie ].
  • 일반적으로 불순한 함수 [부작용과 함께].
  • 저수준 및 중간 수준 기능 위에 구축되었습니다.
• 중간 수준 기능은 명령/선언 스타일을 사용합니다 [예 :. setAuthorizationParams ].
• 낮은 수준의 기능은 일반적으로 명령적인 스타일을 사용하며 1 라이너입니다 [예 :. issecuredcookie ].
  • 일반적으로 순수한 [부작용이없는] 또는 반지 기능 [매개 변수에 대한 부작용].
• 높은 중간 정도의 낮은 수준의 계층 구조 설계 나는 그것을 레고 원칙 이라고 명명했습니다. 또한 기본 저수준 기능에있는 피라미드 기능 으로 볼 수 있습니다.
• 다른 전략은 없다 [0 (0) else branch].

프로세스

• 로컬 인증 및 원격 인증의 두 가지 보안 프로세스가 있습니다.
• 로컬 인증 프로세스 [쿠키] :
  • 각 요청 [인증 미들웨어 사용시] 호출 인증 기능 [예 :. AuthenticateCookie ]. 인증 결과를 기반으로 미들웨어 세트 httpcontext.user prop.
  • 그런 다음 각 요청 [권한을 사용하는 경우 Middlware를 사용하는 경우] 호출 권한 부여 함수 [예 :. 승인 ]. 승인 정책에 따라 요청이 허용되는지, 무단/도전 또는 무단/금지 된/금지 된 경우에 결정됩니다.
  • 서명/사인 아웃 기능은 DEVS가 구현 한 특정 엔드 포인트/컨트롤러 동작에 사용됩니다.
• 원격 인증 프로세스 [OAUTH2 프로토콜] :
  • 호출되면 챌린지 엔드 포인트 [예 :. Mapfacebook 에 등록] 권한 부여 요청을 빌드하고 보냅니다.
  • 권한을 처리 한 후 권한 부여 서버 리디렉션 응답이 콜백 엔드 포인트 [예 :. Mapfacebook 에 등록]. 해당 엔드 포인트는 승인 서버 응답을 받고 콜백 func [예 : Callbackfacebook , Callbackoauth ]. 콜백 func 에는 두 단계가 있습니다.
    • 인증 : AuthenticateOauth OAuth 인증 기능은 3 가지 변위가 있습니다.
      • 후 승인 - 인증 코드와 권한 부여 서버 [Local]의 요청을 검증합니다.
      • ExchangeCodefortokens- 권한 부여 서버와의 교환 액세스 [및 새로 고침] 토큰 [원격]에 대한 권한 부여 코드.
      • AccessUserInfo- Access Token 사용은 권한 부여 서버에서 사용자 정보를 제공합니다 [원격].
      • 인증 단계는 인증 서버에서받은 사용자 정보를 보안 청구로 변환하고 클레임 신원에 추가하고 인증 티켓을 작성하고 AuthenticaticResult를 반환합니다.
    • 서명 : 인증이 성공했을 때 OAUTH 인증 단계 후에 서명 된 기능을 [예를 들어. *SigininCookie^, SignInBearerToken ]. SignIn Func는 OAUTH 엔드 포인트 등록에 설정됩니다.
  • 콜백 리디렉션 후 다음 요청은 로컬 인증 프로세스를 사용합니다.

발언

• 완전히 다시 작성된 인증 메커니즘.
• 부분적으로 다시 작성한 승인 Mechamism [ASPNET 권한 부여 정책 메커니즘과의 호환성 유지].
• 쿠키 인증 서비스는 세션 기반 쿠키 기능을 외과 적으로 구현합니다 [ IssessionBasedCookie func 사용]. 인증, 서명 및 서명 서비스는 서로 독립적입니다. AuthenticationSessionCookie , SignInsessionCookie 및 SignoutSessionCookie 세션 기반 쿠키 서비스는 비션 기반 버전에서 완전히 격리되어 있습니다.
• 인증 옵션 구현에는 데이터 만 포함됩니다. CookieauthenticationOptions ]. 쿠키 인증 서비스 [비 DI 기반 제품]는 모든 종속성을 매개 변수로 수신합니다.
• Microsoft ASPNET 인증 옵션 구현에는 데이터 및 동작/서비스가 포함되어 있습니다. SessionStore , TicketDataFormat , CookieuthenticationOptions 용 SystemClock ]. 이 디자인은 옵션을 허용하는 내 구현과 비교하는 몇 가지 장점이 있습니다.
  • DI에 등록 된 서비스와는 다른 서비스를 제공합니다.
  • 인증 프로세스를 통해 해당 서비스를 캡슐화하고 수행합니다 [매개 변수 수를 줄이기].
• AuthenticeAuth Oauth 인증 기능을 사용하여 템플릿 방법 설계 패턴을 사용하여 Oauth 라이브러리가 Neccessary postauthenticate , exchangecodefortokens 또는 accessUserInfo 인증 보체를 재정의/장식 할 수 있습니다. AuthenticateTwitter , AuthenticateFacebook ].
• 비고 리디렉션 :
  • Challengeouth 및 Challendoidc Funcs는 권한 부여 서버로 리디렉션됩니다 [ Challendoidc는 리디렉션 대신 양식을 사용할 수 있습니다].
  • Callbackoauth 및 Callbackoidc Funcs Original URL로 리디렉션하거나 콜백 인증 오류가 AccessDeniedPath 또는 ErrorPath 인증 옵션에 오류 유형에 따라 소품에 오류가 발생합니다.
  • SignIncookie , SignoutCookie , Challenge *, Forbid * 등. 리디렉션 없음 [Webapi 지향 기능]. 리디렉션이 필요할 때 해당 기능은 AuthenticationProperties.Redirecturi 또는 AuthenticaticOptions.ReturnUrlParameter Query 매개 변수로 장식 및 리디렉션 될 수 있습니다.
• 쿠키 비고 :
  • AuthenticationCookieOptions.expiresAfter authenticationTicket [쿠키] 지속성을 제어하기위한 단일 장소.
  • AuthenticationCookieOptions.cookiename 쿠키 이름을 제어하기위한 단일 장소.
• OIDC 비고 :
  • PKCE 는 인증 코드 흐름에 대한 보안에 관한 권장되는 솔루션입니다.
  • OIDC 모범 사례 [OIDC RFC에서도 지원하는]에 기초하여 지원되지 않는 암시 적 및 하이브리드 흐름.
  • 암시 적 및 하이브리드는 필요한 Nonce 매개 변수가있는 흐름이기 때문에 Nonce는 NECCESSARY가 아닙니다.

프로젝트 목표

• ASPNET 인증/인증 메커니즘 및 로컬/원격 프로세스를 풀고/탈취합니다.
• 인증/인증 메커니즘을 단순화하기 위해 [ASPNET 스키마 기반 자유 메커니즘].
• 기능적 프로그래밍 구현을 보여줍니다.
• OOP에 대한 실용적인 대안을 보여줍니다.

기준

방법	invocationcount	평균	오류	stddev	중앙값	비율	비율	gen0	gen1	gen2	할당	할당 비율
fpsignin	128	64.34 μs	1.196 μs	1.119 μs	64.69 μs	1.00	0.00	-	-	-	7.96 KB	1.00
oopsignin	128	79.98 μs	3.247 μs	9.212 μs	79.56 μs	1.13	0.14	7.8125	7.8125	7.8125	116.21 KB	14.59
fpsignin	512	45.75 μs	5.065 μs	14.934 μs	39.12 μs	1.00	0.00	1.9531	-	-	7.96 KB	1.00
oopsignin	512	97.08 μs	7.432 μs	21.679 μs	95.52 μs	2.41	1.12	9.7656	9.7656	9.7656	445.7 KB	56.01
fpsignin	1024	28.83 μs	2.009 μs	5.533 μs	26.26 μs	1.00	0.00	1.9531	-	-	7.95 KB	1.00
oopsignin	1024	186.15 μs	26.776 μs	78.949 μs	211.04 μs	6.32	3.02	14.6484	13.6719	13.6719	915.64 KB	115.12

• invocationCount> 2048 OOP 벤치 마크 시작이 매우 느리게 실행됩니다.