Authentification unique Prestashop OAuth avec flux PKCE | Connexion SSO Prestashop PingIdentity OAuth

Prestashop est un système de création de boutique en ligne qui permet aux utilisateurs de créer leurs propres plateformes de commerce électronique pour créer et vendre leurs propres produits. Il est livré avec plusieurs fonctionnalités appelées modules qui incluent un système de paiement et de paiement facile intégré aux intégrations PayPalTM, Facebook et des réseaux sociaux pour créer votre communauté autour de votre boutique, et une administration pour simplifier la gestion quotidienne de votre boutique.

PingIdentity est un fournisseur mondial de gestion des identités et des accès qui permet à divers logiciels de gérer et de gérer l'authentification et l'autorisation des utilisateurs. Il exploite l'utilisation de protocoles d'authentification et d'autorisation populaires tels que SAML 2.0 et OAuth 2.0, qui facilitent en toute sécurité l'authentification unique (SSO) entre deux entités conformes. PingIdentity peut également être utilisé pour créer plusieurs autres plateformes d'identité pour divers groupes d'entreprises telles que la gestion des employés, la gestion de la santé des employés, etc. En facilitant le SSO à l'aide de l'un de ses protocoles SSO, il permet un accès croisé entre lui-même et les applications construites dessus avec d'autres. applications/sites Web tiers.

Scénario

Vous disposez d'un portail des employés construit sur PingIdentity et d'une boutique Prestashop auquel les employés peuvent accéder après autorisation réussie du portail de gestion des employés. Pour faciliter ce processus d'autorisation, vous souhaitez que les employés se connectent à Prestashop en utilisant le protocole OAuth. Cependant, par défaut, le flux d'attribution de code d'autorisation permet aux utilisateurs secret client à envoyer visiblement dans l'URL de la requête. Donc, pour intégrer une manière plus sécurisée de procéder, vous souhaitez que le SSO fonctionne à la place en utilisant le flux PKCE (Proof Key for Code Exchange) d'octroi de code d'autorisation, ce qui empêche l'envoi du secret client dans l'URL de la demande.

Exigences

PingIdentity est utilisé pour créer le portail des employés où existent tous les identifiants et détails des employés, c'est là que tous les utilisateurs se verront accorder un accès autorisé.

Prestashop est installé et configuré en tant que fournisseur de services dans lequel seuls les utilisateurs autorisés pourront accéder au magasin.

Composants impliqués

• Client OAuth: PingIdentity sur lequel est construit tout le portail employé, toutes les identités des utilisateurs proviennent d'ici.
• Serveur OAuth: Prestashop où le service sera accessible par les utilisateurs autorisés, le plugin Prestashop en tant que client OAuth sera installé ici.

Pour obtenir le plugin vous nous contactez ICI. (en anglais seulement)

Représentation schématique

Solution

1. Flux de subventions PKCE

• PKCE signifie Proof Key for Code Exchange. Il s'agit d'un flux d'octroi basé sur l'octroi de code d'autorisation, qui est mieux utilisé pour activer OAuth SSO dans les clients publics.
• PKCE fonctionne en demandant au client/à l'application de générer une valeur aléatoire au début du flux appelée Code Verifier, et de la hacher plus tard, pour créer ce qu'on appelle le Code Challenge.
• Ce code challenge, qui est utilisé à la place d'un secret client fixe dans un flux OAuth traditionnel, est ensuite inclus dans la chaîne de requête pour la demande au serveur d'autorisation où la valeur hachée est stockée pour une vérification ultérieure et, une fois l'utilisateur authentifié, redirige revenir à l'application avec un code d'autorisation.
• L'application demande l'échange du code contre des jetons, mais elle envoie le code Verifier au lieu d'un secret fixe. Le serveur d'autorisation peut désormais hacher le code vérificateur et le comparer à la valeur hachée qu'il a stockée précédemment.
• En supposant que la valeur hachée correspond, le serveur d'autorisation renverra les jetons.

2. Utiliser PKCE pour le SSO

• En référence au flux PKCE décrit ci-dessus, lorsqu'un employé tente d'accéder à la boutique Prestashop, l'utilisateur sera redirigé vers Prestashop en tant que client OAuth qui générera un défi de code en utilisant un aléatoire généré cryptographiquement vérificateur de code.
• Le plugin redirigera alors l'utilisateur via le demande de code d'autorisation au portail des employés avec le défi de code invitant l'utilisateur à se connecter ici. Le portail des employés stocker le défi du code ici pour vérification ultérieure.
• Dans le flux d'attribution de code d'autorisation OAuth traditionnel, la demande de code d'autorisation (ou l'URL de la demande) contiendra le secret client, mais avec le flux PKCE, cela le secret client sera remplacé par le défi de code rendant ainsi la transaction beaucoup plus sécurisée.
• Une fois que l'utilisateur est authentifié avec succès ici, le portail des employés redirige l'utilisateur vers le plugin avec le code d'autorisation. Ce Code d'autorisation sera valable pour une seule transaction.
• Le plugin enverra ensuite le vérificateur de code précédemment généré et le code d'autorisation au portail des employés où le défi de code précédemment stocké et le vérificateur de code seront validés.
• Après validation, si les valeurs du vérificateur de code et du code challenge correspondent, le portail employé enverra le Jeton d'identification et le nécessaire jeton d'accès retour au plugin qui peut demander les données d'accès de l'utilisateur.
• Le plugin répond alors avec les données demandées et l'utilisateur peut accéder à la boutique Prestashop.

Ressources supplémentaires

• Connectez-vous à Prestashop
• Connexion SSO Prestashop OAuth
• Connexion SSO Prestashop SAML
• Foire aux questions (FAQ)