Sicurezza II, A.A. 2011/2012 OpenID Speaker: André Panisson, PhD student Università degli Studi di Torino, Computer Science Department Corso Svizzera, 185 – 10149, Torino, Italy Sicurezza II A.A

Obiettivo del laboratorio o Sviluppare un sito web minimale che effettui un controllo degli accessi tramite OpenID, anziché con username e password Integrazione con un OpenID consumer Interazione con un OpenID provider Uso della OpenID delegation Sicurezza II, A.A. 2011/2012

Preparazione del laboratorio o Server Apache sotto la cartella $HOME/apache o PHP o Identity Provider: phpMyID o Relying Part: LightOpenID Sicurezza II, A.A. 2011/2012

Configurazione phpMyID o Per attivare logging su phpMyID: Decommentare le righe sul file MyID.config.php: Debug Config - Please see README before setting these 'debug'=>false, 'logfile'=>'/tmp/phpMyID.debug.log', Sicurezza II, A.A. 2011/2012

Esercizio o Iniziare il server Apache ~/apache/bin/apachectl start o Controllare il log di phpMyID tail -f /tmp/phpMyID.debug.log o Accedere alla pagina del Identity Provider phpMyID Controllare che il source code della pagina contenga I parametri giusti: Se I parametri non sono giusti, aggiustare lo script MyID.php // Determine the requested URL - DO NOT OVERRIDE $profile['req_url'] = sprintf("%s://%s%s%s", $proto, // $_SERVER['HTTP_HOST'], $_SERVER['SERVER_NAME'], $port, $_SERVER["REQUEST_URI"]); Sicurezza II, A.A. 2011/2012

Esercizio o Accedere alla pagina del Relying Part LightOpenID Nel campo OpenID, utilizzare la url dell’ Identity Provider ?openid.mode=login o Login utlizzando l’Identity Provider o Controllare il logging di phpMyID Fare un rapporto di tutti i passi del protocollo e fare la correlazione con i passi dello slide “ Architettura e protocollo” (si può cambiare gli script phpMyID utilizzando la funzione debug per capire bene quali sono i passi, quando finisce uno e quando inizia l’altro) Sicurezza II, A.A. 2011/2012

Delegation o Può essere comodo rendere indipendente il proprio identificatore dal particolare Identity provider in uso o Si sceglie come identificatore l’URL del sito web personale o Nella pagina dell’URL, si aggiungono le direttive openid.server e openid.delegate Wolfwood's Blog V: That cross is awfully heavy! N: That's because it's filled with mercy… Sicurezza II, A.A. 2011/2012

OpenID e HTTPS o Provare a utilizzare https affinché la password inviata all’OpenID provider sia cifrata con una chiave di sessione Semplice configurazione di Apache… Sicurezza II, A.A. 2011/2012

OpenID Speaker: André Panisson, PhD student Università degli Studi di Torino, Computer Science Department Corso Svizzera, 185 – 10149, Torino, Italy Sicurezza II A.A Grazie per l’attenzione! Sicurezza II, A.A. 2011/2012

© 2009 by André Panisson. Permission to make digital or hard copies of part or all of this material is currently granted without fee provided that copies are made only for personal or classroom use, are not distributed for profit or commercial advantage, and that new copies bear this notice and the full citation. Sicurezza II, A.A. 2011/2012