Spring Security OAuth2 protege API com autenticação
•
0 gostou•298 visualizações
Conheça como proteger suas API's com o protocolo OAuth2. Nesta palestra será demonstrado um exemplo prático de uma API construída usando o Spring Boot protegida com autenticação usando Spring Security OAuth2, sendo acessada por uma aplicação mobile híbrida desenvolvida com Ionic 3 .
Recomendados
Mais conteúdo relacionado
Semelhante a Spring Security OAuth2 protege API com autenticação
Semelhante a Spring Security OAuth2 protege API com autenticação (20)
Spring Security OAuth2 protege API com autenticação
- 1. Globalcode – Open4educationProtegendo sua API Spring Boot com OAuth2 Trilha – Java Enterprise
- 2. Globalcode – Open4education “Arqueólogo” Java Desenvolvedor Java desde 1997 P&D Uno Soluções Instrutor VOffice.
- 3. Globalcode – Open4education Agenda Segurança Alguns Métodos de Autenticação Spring Security Breve descrição do Ionic Framework Demo Q&A
- 4. Globalcode – Open4education Segurança Autenticação Autorização
- 5. Globalcode – Open4education Verificação se usuário que está acessando é realmente quem diz ser. Autenticação Autorização
- 6. Globalcode – Open4education Segurança Autenticação Autorização O usuário tem permissão para os recursos que está tentando acessar
- 7. Globalcode – Open4education Alguns Métodos de autenticação Soluções “caseiras" Autenticação baseada Token HTTP Basic Assinaturas digitais OAuth2
- 8. Globalcode – Open4education Alguns Métodos de autenticação Soluções “caseiras" Autenticação baseada Token HTTP Basic Assinaturas digitais OAuth2
- 9. Globalcode – Open4education Soluções “caseiras"
- 10. Globalcode – Open4education Soluções “caseiras” Considerações
- 11. Globalcode – Open4education Métodos de autenticação Soluções "caseiras" Autenticação baseada Token HTTP Basic Assinaturas digitais OAuth2
- 12. Globalcode – Open4education Autenticação baseada em Token
- 13. Globalcode – Open4education Autenticação baseada em Token Considerações: Pouco impacto em performance Problemas: Header Tampering Dictionary Attacks Man-In-The-Midle Simples adoção Recomendado SSL
- 14. Globalcode – Open4education Métodos de autenticação Soluções caseiras Autenticação baseada Token HTTP Basic Assinaturas digitais OAuth2
- 15. Globalcode – Open4education HTTP Basic Authorization: Basic dXN1YXJpbzpzZW5oYQ== Codificação Base64: usuario:senha https://www.base64encode.org/ Recomendado SSL
- 16. Globalcode – Open4education HTTP Basic Considerações: Pouco impacto em performance Problema: Credenciais plaintext Header Tampering Dictionary Attacks Man-In-The-Midle Simples adoção
- 17. Globalcode – Open4education Métodos de autenticação Soluções “caseiras" Autenticação baseada Token HTTP Basic Assinaturas digitais OAuth2
- 18. Globalcode – Open4education Assinatura digital https://www.devmedia.com.br/autenticacao-de-usuarios-com-certificados-digitais/9495
- 19. Globalcode – Open4education Assinatura digital Considerações: Performance afetada na geração de assinaturas Problemas: Obriga geração de certificados nas duas pontas Custo elevado Nao distingue claramente o usuário Adoção mais complexa, depende de geração de assinaturas
- 20. Globalcode – Open4education Métodos de autenticação Soluções “caseiras" Autenticação baseada Token HTTP Basic Assinaturas digitais OAuth2
- 21. Globalcode – Open4education OAuth2 Protocolo baseado em uma especificação de padrão aberto IETF - RFC 6749 https://tools.ietf.org/html/rfc6749 Aplicações podem compartilhar recursos sem necessidade de compartilhar as credenciais Baseado em tokens Permite delegação de acesso Aplicações de terceiros Tempo limitado Controle do que pode ser acessado Vários modos de acesso (usuário ou aplicação)
- 22. Globalcode – Open4education OAuth2 - Quem usa
- 23. Globalcode – Open4education OAuth2 - Roles Resource Owner Resource Server Client Authorization Server
- 24. Globalcode – Open4education OAuth2 - Fluxo https://www.digitalocean.com/community/tutorials/an-introduction-to-oauth-2 https://oauth.net/2/
- 25. Globalcode – Open4education OAuth2 - Token Tipo Bearer Não é criptografado, necessita de SSL String em formato Hash Identificador para buscar dados de acesso a api Informações do usuário são armazenadas no servidor Banco de dados Memória Access Token de curta duração Refresh Token de longa duração 119f2b5b-a5d8-481a-b674-4dec18d7be40
- 26. Globalcode – Open4education Token JWT Baseado em um padrão aberto IETF - RFC 7519 https://tools.ietf.org/html/rfc7519 Permite envio de informações Garantia de autenticidade
- 27. Globalcode – Open4education Token JWT - Estrutura Header Payload Signature
- 28. Globalcode – Open4education Token JWT - Estrutura Header Tipo: JWT Algoritmo de hashing Payload Signature
- 29. Globalcode – Open4education Token JWT - Estrutura Header Payload Corpo do JWT Informações armazenadas Signature
- 30. Globalcode – Open4education Token JWT - Estrutura Header Payload Signature Assinatura do Token Validar o Token jo6PSJgZkI74hbTQxleJ-WS6GWxzmf6xUIaCvvRHnE8
- 31. Globalcode – Open4education OAuth2 - Grant types Authorization Code Recursos de terceiros Implicit SPA Resource Owner Password Credentials Trusted Apps Client Credentials machine to machine
- 32. Globalcode – Open4education OAuth2 - Grant types Authorization Code Recursos de terceiros Implicit SPA Resource Owner Password Credentials Trusted Apps Client Credentials machine to machine
- 33. Globalcode – Open4education OAuth2 - Authorization Code
- 34. Globalcode – Open4education OAuth2 - Authorization Code
- 35. Globalcode – Open4education OAuth2 - Authorization Code
- 36. Globalcode – Open4education OAuth2 - Authorization Code
- 37. Globalcode – Open4education OAuth2 - Authorization Code
- 38. Globalcode – Open4education OAuth2 - Authorization Code
- 39. Globalcode – Open4education OAuth2 - Password Credentials
- 40. Globalcode – Open4education OAuth2 - Considerações Uso de SSL Performance pouco afetada, depende do controle dos tokens Problemas: Implementações podem expor vulnerabilidade Implementações podem ser complexas Adoção complexa dependendo do suporte a implementação
- 41. Globalcode – Open4education OAuth2 - Spring Security Implementação do OAuth2 Implementa os 4 tipos de authorization grant Suporta o papéis definidos pelo OAuth2 Authorization Server Resource Server Client Fácil integração com ecossistema Spring configuração via anotações
- 42. Globalcode – Open4education Authorization Server @EnableAuthorizationServer Habilita a configuração do Autorization Server ClientDetailsServiceConfigurer Configurações do Client Armazenamento Memória ou Banco de dados AuthorizationServerTokenServices Configurações para gerenciamento de Tokens Memória, Banco de Dados ou JWT AuthorizationServerEndpointConfigurer Configurações dos grant types suportados pelo servidor
- 43. Globalcode – Open4education Resource Server Fornece um filtro de autenticação para as aplicações web @EnableResourceServer Habilita a configuração do Resource Server Configuração do controle de acesso
- 44. Globalcode – Open4education Ionic Framework Framework para desenvolvimento de aplicativos móveis híbridos baseado em: Cordova: integração com recursos nativos do dispositivo (todos) Angular: framework frontend Linguagem Typescript Linguagem tipada Orientada a objetos Baseada em Javascript Gera compilações para todas as plataformas (iOs e Android) Componentes visuais adaptam-se ao estilo da plataforma gerada.
- 45. Globalcode – Open4education Demo https://github.com/lapavila/meuslivros-api https://github.com/lapavila/meuslivros-app Projeto Spring Boot API Projeto Aplicação Cliente Ionic