![[PukiWiki]](image/pukiwiki.png "[PukiWiki]")
「[[マイクロソフト系技術情報 Wiki>http://techinfoofmicrosofttech.osscons.jp/]]」は、「[[Open棟梁Project>https://github.com/OpenTouryoProject/]]」,「[[OSSコンソーシアム .NET開発基盤部会>https://www.osscons.jp/dotNetDevelopmentInfrastructure/]]」によって運営されています。 -戻る --[[OAuth 2.0 拡張]] --[[OpenID Connect]] * 目次 [#x774c2a7] #contents *概要 [#ta7069e9] 「新たなユーザ認証体験」のベースとなりうるものらしい。 -デバイスを --サービス利用 --ユーザー認証 >に分離することによりユーザー認証体験の可能性が広がる。 -以下の両分野がCIBAの標準化を進めている。 --モバイル --金融API *詳細 [#a3ba36e2] **用語 [#afb03bc6] -基本的な用語は、OAuth2/OIDCと変わらない。 -その他、以下の用語が追加されている。 --Consumption Device (CD)~ CIBA Flow ユーザ（なんでもOK）だが、~ 基本的にConfidential Clientを経由する。 --Authentication Device (AD) ~ 認証デバイスでスマホのプッシュ通知を使う想定。 --BA EP（バックチャネル認証エンドポイント）~ AuthZ（IdP/STS）に追加される新たなエンドポイント。 **フロー概要 [#mb14e0e5] フローを見ると、RedirectによるOAuthダンスではなく、[[OAuth 2.0 Device Flow>OAuth 2.0 拡張#l14e2ae9]]風で、~ デバイスへの通知にNB（＝スマホのプッシュ通知）を使用している感じの仕様っポイ。 -従来の従来のOAuthダンスは「Redirect フロー」と言うらしい。 -CIBA は「Decoupled フロー」と言うらしい（decoupled and back-channel）。 --decoupled：~ Client（Webアプリとスマホ）と認証デバイス（≒スマホ）に分離。~ 其々のスマホを、Consumption Device (CD) 、Authentication Device (AD)と言うらしい。 --back-channel：~ AuthZはback-channelで認証要求を受付け、認証結果を返す(Poll / Ping / Push)。 **認証リクエスト・レスポンス [#k24365ee] -認可リクエストではないことに注意。 -認証リクエストを非同期的に受け付けてレスポンスする。 ***ユーザ特定 [#y479f65b] クライアントが認可サーバのバックチャネル認可エンドポイントにリクエストを投げる際、 -以下のパラメタのどれか一つをヒントとしてサーバに渡す。 --login_hint_token --id_token_hint --login_hint -サーバはそのヒントを元に認証対象ユーザを特定する。 ***認証要求の正当性 [#z8711778] 認証デバイスに飛んできた認証要求が正当なものかどうかを確認するためのパラメタ -Binding Message --かなり短い単純な文字列であることが想定されている。 --Biding MessageをADにそのまま表示する -user_code **ユーザ認証 [#r0e5aee2] 認証デバイスでスマホのプッシュ通知を使う想定。 **Tokenリクエスト・レスポンス [#ae7a371f] -認証リクエストの結果とTokenレスポンスを返す。 -認証リクエストとの繋がりは非同期的なので、~ Poll / Ping / Pushの3つの方式がある。 *参考 [#hdf3c138] -CIBA (Client Initiated Backchannel Authentication) の可能性~ '#authlete #api #oauth #openid #oidc #openbanking~ https://www.slideshare.net/tkudo/openid-connect-ciba-overview -openid / fapi / 課題 / #127 - CIBA: security issues — Bitbucket~ https://bitbucket.org/openid/fapi/issues/127/ciba-security-issues **OpenID [#maf4557e] -OpenID Connect Client Initiated Backchannel Authentication Flow - Core 1.0 draft-01~ https://openid.net/specs/openid-client-initiated-backchannel-authentication-core-1_0.html -Public Review Period for OpenID Connect Client Initiated Backchannel Authentication (CIBA) Core Started~ https://openid.net/2018/12/14/public-review-period-for-openid-connect-client-initiated-backchannel-authentication-ciba-core-started/ **Qiita [#a3614771] ***TakahikoKawasaki [#w6fc5ef3] -【2019年版】世界最先端の認証認可技術、実装者による『CIBA』解説~ https://qiita.com/TakahikoKawasaki/items/9b9616b999d4ce959ba3 **r-weblife [#g9a31a97] -OIDC Client Initiated Backchannel Authentication Flow (CIBA)とは --概要編~ https://ritou.hatenablog.com/entry/2018/12/29/224452 ---- Tags: [[:IT国際標準]], [[:認証基盤]], [[:クレームベース認証]], [[:OAuth]]
