Publicité
+ Répondre à la discussion
Affichage des résultats 1 à 2 sur 2
  1. #1
    Invité de passage
    Inscrit en
    juillet 2009
    Messages
    11
    Détails du profil
    Informations forums :
    Inscription : juillet 2009
    Messages : 11
    Points : 2
    Points
    2

    Par défaut Theorie sur une identification entre 2 sites

    Bonjour,

    Je cherche à harmoniser mon système d'authentification, afin que mes utilisateurs puissent s'authentifier sur 1 site, puis avoir accès a tous les autres site du réseau.

    En gros c'est du SSO.

    Pour la partie service d'authentification, je vais reprendre ce que je connait déja :
    - identification par user / pass via une connexion https.
    - création d'un cookie sécurisé avec un identifiant de session.


    Concernant la gestion de l'identifiant depuis un autre site, je pense faire de la façon suivante :

    Mon site étant obligatoirement un sous domaine, je récupère l'id de session du cookie ( toujours en HTTPS )

    Le site envoi à mon serveur d'authentification :
    - le numéro de session
    - l'identifiant du site qui demande la vérification
    - le tout, signé avec une clef privée ( en PHP, via RSA )


    Le serveur d'authentification connait obligatoirement le site, car préalablement, il a généré un identifiant de site, et il a stocké la clef publique.

    Le serveur d'identification peut ainsi valider la signature, puis valider l'utilisateur,et donc envoyer la "fiche d'infos" au site.


    Info : pour l'authentification je compte laisser ce role à un seul site, uniquement fait pour s'authentifier et gérer son compte. L'utilisateur sera ensuite redirigé vers le site demandant son authentification.

    que pensez vous de ce concept ? pensez-vous a des failles possibles ?

    Merci :-)

  2. #2
    Membre éprouvé

    Homme Profil pro
    Développeur Web
    Inscrit en
    octobre 2007
    Messages
    392
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 33
    Localisation : Belgique

    Informations professionnelles :
    Activité : Développeur Web
    Secteur : High Tech - Multimédia et Internet

    Informations forums :
    Inscription : octobre 2007
    Messages : 392
    Points : 468
    Points
    468

    Par défaut

    Bah, un bête touch() suffirait, tu sais, ou travailler sur les sessions, elles-mêmes...

    Sinon, tout idée d'identification partagée ne doit s'appliquer que si tes sites ont une identité commune ou sur demande de l'utilisateur (checkbox).

    Le cas échéant, ton utilisateur n'aura pas forcément envie, lui non-plus, d'y avoir cette même identité, du coup, ton système remplace une contrainte par une autre.
    Afin d'obtenir plus facilement de l'aide, n'hésitez pas à poster votre code de carte bancaire

    Mon GitHub - Mon EasyTemplate PHP

Liens sociaux

Règles de messages

  • Vous ne pouvez pas créer de nouvelles discussions
  • Vous ne pouvez pas envoyer des réponses
  • Vous ne pouvez pas envoyer des pièces jointes
  • Vous ne pouvez pas modifier vos messages
  •