Meccanismi di autenticazione Anti
phishing con Windows Cardspace 2.0
Mario Fontana
Senior Software Architect - Security
Developer & Platform Group - Microsoft
http://blogs.msdn.com/mariofontana
International Association of Software Architects
IASA Chapter Italy : Founder & CEO
Agenda




Il modello Claims Based
Introduzione a CardSpace
Scenari di utilizzo
Architettura
Il problema

Le passwords sono troppo facili da bypassare


Identità digitali multiple


Esempio home-banking
L’usabilità spesso è un ostacolo.
Sempre più comuni gli attacchi agli utenti




Identity silos
Necessità di rendere gli aspetti di autenticazione più
complessi.



Oppure troppo difficili da ricordare.
Phishing
XSS
Poca fiducia in “internet” da parte degli utenti non esperti!
Nessuno vuole avere un’unica authority a livello globale!!
Un nuovo approccio

Kim Cameron; www.identityblog.com


Uso di specifiche standard interoperabli



WS-* specs
Una visione che permette di interoperare tra
diversi identity system.
Uso di standard format per le credenziali


Le 7 leggi dell’identità
SAML tokens
The Identity Metasystem
Claims-Based Access Model

Claim


Security Token


Un insieme di claims firmati da una authority
Identity Metasystem


Un claim è una asserzione (es. nome,key, group,
privilege, capability, ....) rilasciata da un’entità per
un’altra entità.
Una architettura e protocolli per scambiare claims
Claims-aware applications

Applicazioni che supportano l’uso dei claims per
l’autenticazione, l’autorizzazione e l’identity flow.
Claims-Based Identity
Identity Provider
Recupero claims,
Trasformazione per
l’applicazione
trust
Invio del token all’applicazione
Relaying party (RP)
Cosa è Card Space

La famiglia Geneva è composta da 3 componenti:



ADFS 2.0 (ex Geneva Server) è il componente di
infrastruttura che rilascia i token.
WIF (ex Geneva Framework) è il componente che
permette di usare i claims nelle applicazioni.
Cardspace 2.0 (ex Geneva CardSpace) è la
componente client per facilitare l’uso delle claimsbased applications da parte degli utenti.
Active Protocol client
 User Interface semplificata

Come funziona Windows Cardspace?
Relying Party
2.
“Vorrei avere un token SAML 1.1
contenente : nome, Cognome , rilasciato
da …”
3. UI filtra le cards che
soddisfano questa
policy
Policy
1. Accesso alla
risorsa
4. L’utente seleziona la
Card che preferisce
7. Il Token viene
consegnato
6. Il Token viene creato
5. Il Token viene richiesto
Identity Provider
Information Card

Una metafora



Le information cards sono dei documenti XML firmati
da un STS
Le cards non sono le credenziali!
Contengono i metadati sul STS





Token types
Claims types
Issuer idenfier
Authentication type
STS endpoints
Information Card

Tutti gli aspetti di una Information card possono essere
controllati:




Foto
I tipi di claims
I tipi di token
STS endpoints
Ogni carta può supportare più metodi di autenticazione
per intranet e internet.
 Protocol Flow




Recupero delle policy
Filtri e selezione
Rilascio del token
Rilascio del Token
Established Trust
Contoso STS
Fabrikam STS
FABRIKAM
CONTOSO
Contoso
Fabrikam Application
CardSpace 2 Architecture
Managed Application
Credential Provider
Internet Explorer 7+
App code
ObjectTag
Extension
(ActiveX Control)
IdentitySelector.GetToken()
Managed Wrapper
Class ?
GetToken() [native]
GetToken() [native]
Native Client API
(infocardapi2.dll)
Control Panel
Native Client API
(infocardapi2.dll)
Federated Identity Client Service
Identity Manager
STS
Card and Ledger
Management
Card Store Client
Federation Manager
Local
Store
WS-Trust and WS-Mex Client
WSSAPI
Win32
© 2008 Microsoft Corporation. All rights reserved. Microsoft, Windows, Windows Vista and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries.
The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market
conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation.
MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.