OpenID Connect のバックアップ(No.7)

https://・・・Idp（OP）のAuthorization code取得用のURL・・・?
response_type=code+id_token
&client_id={client_id}
&redirect_uri=・・・RPのURL・・・
&state=CSRF対策のランダム文字列
&scope=openid+profile
&nonce=リプレイアタック対策のランダム文字列

パラメタ

パラメータ	必須	説明
response_type	○	「code」と「id_token」を指定
client_id	○	事前に準備したclient_idの値を指定
redirect_uri	○	アプリケーションID登録時のコールバックURLに入力したURLを指定
state		CSRF対策のランダム文字列を指定
scope	○	・openid：ユーザー識別子を取得（必須）・profile：姓名・生年・性別が取得・email：メールアドレスと確認済みフラグを取得・address：ユーザー登録住所情報が取得
nonce	id_tokenを取得する際は必須	リプレイアタック対策のランダム文字列を指定
display		ユーザのUIを選択：・page（PC用UI、デフォルト値）・touch（スマートフォン用UI）・wap（フィーチャーフォン用UI）・inapp（ネイティブアプリ用UI）～
その他、Idp（OP）独自パラメタ		－

成功するとログイン/同意画面が表示される。
一度同意すると、次回以降同意画面は省略される。

ログイン/同意が完了する(もしくは事前にログイン、同意している)と、
以下のようなURLで「・・・RPのURL・・・」にリダイレクトされる。
```
http://・・・RPのURL・・・?code=xxxxxxxx&state=CSRF対策のランダム文字列
```

”code=xxxxxxxx”が、Authorization codeなので保存する。
”state=CSRF対策のランダム文字列”が、一致していることを確認する。

↑

STEP 2 : Access Token、ID Tokenの取得 †

Tokenを取得する際は、POSTでリクエストを送信（HTTPリクエストのヘッダーやデータにTokenリクエストに必要な値を指定する必要がある）ため、CUIのcURLコマンドを使用して、Access Token、ID Tokenを取得する。

cURLコマンドなどでリクエストする。

Header:'Authorization: Basic {basicAuth}'

URL:https://・・・Idp（OP）のAccess Token、ID Token取得用のURL・・・?grant_type=authorization_code&code=・・・&redirect_uri=・・・"

パラメータ	必須	説明
grant_type	○	authorization_code という固定文字列を指定
code	○	Authorization codeを指定、リクエスト送信後は使用できなくなる。
redirect_uri	○	STEP 1 のredirect_uriで指定したURLを入力。

基本認証が必要になる。
- アプリケーションID(client_id)
- シークレット(client_secret)
- 上記を":"区切りで結合しBase64文字列化

以下の様なレスポンスが返る。

{
"access_token":"{ヘッダー部}.{ペイロード部}.{シグネチャー部}",
"token_type":"bearer",
"expires_in":"3600",
"refresh_token":"・・・",
"id_token":"・・・"
}

↑

STEP 3 : IDトークンの正当性の検証 †

"access_token"の

{ヘッダー部}を取り出して、base64デコード。
```
{
"typ":"JWT",
"alg":"HS256"
}
```
- typ:JWT（JSON Web Token）
- alg:HMAC-SHA256（署名に使用したハッシュ）

{ペイロード部}を取り出して、base64デコード。

{
"iss":"https:\/\/・・・Access Tokenの発行元URL・・・",
"user_id":"ユーザー識別子",
"aud":"アプリケーションID(client_id)と一致する値",
"iat":IDトークンの発行時刻,
"exp":IDトークンの有効期限,
"nonce":"STEP 1 のnonceと一致する値"
}

署名の検証
- "{ヘッダー部}.{ペイロード部}"を使用して,alg:HMAC-SHA256でバイナリ形式でハッシュ化。
- それをBase64文字列化した文字列が"{シグネチャー部}"と一致していることを確認する。

↑

STEP 4 : 属性情報の取得 †

RPがIdP（OP）で認証したユーザ属性情報を取得する。
ここで、準備、STEP 0-3 で取得したAccess Tokenを使う。

UserInfoAPIに、以下の形式でAccess Tokenを渡す。
- Header:'Authorization: Bearer {access_token}'
- URL:https://・・・ユーザ属性情報の発行元URL・・・?schema=openid

以下のユーザ属性情報を含んだクレームが取得できる。

{
"user_id":"・・・",
"name":"・・・",
"given_name":"・・・",
"given_name#ja-Kana-JP":"・・・",
"given_name#ja-Hani-JP":"・・・",
"family_name":"・・・",
"family_name#ja-Kana-JP":"・・・",
"family_name#ja-Hani-JP":"・・・",
"gender":"male or female",
"birthday":"YYYY",
"locale":"ja-JP,etc."
}

IdM実験室 Bearer Token とは？
http://idmlab.eidentity.jp/2013/09/bearer-token.html

↑

モバイルアプリ †

デジタル・アイデンティティ技術最新動向（4）：
「OpenID Connect」を理解する (2/2) - ＠IT
http://www.atmarkit.co.jp/ait/articles/1209/27/news138_2.html

STEP 1以降のモバイルアプリにおける差異が不明だった。

↑

STEP 0 : Discovery & Dynamic Client Registration †

IdP（OP）探索と動的なRP登録

「○○のIDでログイン」というリンクを選択する替わりに、
次の2種類の値をIdP（OP）特定（Discovery）のためのヒントとして利用できる。
- メールアドレス
  例 : ritou@openidconnect.info
- OP URL
  例 : https://openidconnect.info