مطالبات OpenID Connect ورموز ID

يضيف OpenID Connect (OIDC) طبقة هوية فوق OAuth 2.0. فبينما يتولى OAuth 2.0 التفويض (ما الذي يمكن لهذا التطبيق الوصول إليه؟)، يجيب OIDC عن سؤال الهوية (من هو المستخدم؟). ويُطبَّق OIDC بإضافة النطاق "openid" إلى طلب OAuth 2.0، مما يجعل خادم التفويض يعيد رمز ID إلى جانب رمز الوصول.

رمز ID في OIDC هو JSON Web Token (JWT) يتضمن مطالبات حول المستخدم الذي تمت مصادقته. يوقّع خادم التفويض على JWT باستخدام مفتاحه الخاص (عادةً باستخدام RS256 أو ES256)، ويتحقق الطرف المعتمد (تطبيق العميل) من التوقيع باستخدام المفاتيح العامة المنشورة لخادم التفويض (نقطة نهاية JWKS).

مطالبات رمز ID المطلوبة والشائعة الاستخدام: "sub" (الموضوع، معرّف المستخدم الفريد)، "iss" (الجهة المُصدرة، عنوان URL لخادم التفويض)، "aud" (الجمهور، معرّف العميل)، "exp" (الطابع الزمني لانتهاء الصلاحية بنظام Unix)، "iat" (الطابع الزمني للإصدار بنظام Unix). واختيارية: "auth_time" (وقت حدوث المصادقة)، "nonce" (منع إعادة التشغيل)، "at_hash" (تجزئة رمز الوصول)، "acr" (فئة سياق المصادقة)، "amr" (طرق المصادقة المستخدمة).

تعيد نقطة نهاية UserInfo في OIDC مطالبات إضافية حول المستخدم الذي تمت مصادقته عند استدعائها باستخدام رمز وصول صالح. يطلب العملاء مجموعات مطالبات محددة عبر النطاقات: "profile" (الاسم، الصورة، اللغة المحلية)، "email" (البريد الإلكتروني، والتحقق من البريد الإلكتروني)، "address" (العنوان المنسق)، "phone" (رقم الهاتف، والتحقق من رقم الهاتف). وتكون استجابة UserInfo كائن JSON أو JWT.

يبدأ التحقق من رمز ID بالتحقق من التوقيع. يجلب العميل مجموعة مفاتيح JWKS (JSON Web Key Set) من خادم التفويض عبر نقطة النهاية المعروفة، ثم يعثر على المفتاح المطابق للمعامل "kid" (معرّف المفتاح) في ترويسة JWT، ويتحقق من توقيع JWT. يثبت ذلك أن الرمز أصدره خادم التفويض الشرعي وأنه لم يتعرض للتلاعب.

بعد التحقق من التوقيع، يجب على العميل التحقق من الآتي: يجب أن تتطابق "iss" تمامًا مع عنوان URL المتوقع لخادم التفويض (بما في ذلك المخطط والمسار). يجب أن تتضمن "aud" قيمة client_id الخاصة بالعميل. يجب أن تكون "exp" في المستقبل (مع رفض الرموز المنتهية الصلاحية). وينبغي أن تكون "iat" حديثة بدرجة معقولة. وجميع عمليات التحقق الأربع إلزامية وفقًا لمواصفة OIDC.

تمنع مطالبة nonce هجمات إعادة تشغيل رمز ID. يُنشئ العميل nonce عشوائيًا ويضمّنه في طلب التفويض. ويضمّن خادم التفويض nonce في رمز ID. ويتحقق العميل من تطابق nonce الموجود في رمز ID مع القيمة التي أرسلها. ويمنع ذلك المهاجم الذي يعترض رمز ID من إعادة تشغيله للمصادقة في جلسة مختلفة.

عندما يستخدم OIDC التدفق الضمني (response_type=id_token)، يُعاد رمز ID مباشرةً في جزء عنوان URL. ويجب على العميل التحقق من at_hash (تجزئة رمز الوصول) لربط رمز الوصول برمز ID. ومن دون التحقق من at_hash، تصبح هجمات استبدال رمز الوصول ممكنة. وهذا سبب آخر لإهمال التدفق الضمني.

يحدد OIDC عمليات ربط قياسية بين النطاقات والمطالبات. فنطاق "openid" إلزامي ويعيد مطالبة "sub". ويعيد "profile" المطالبات name وgiven_name وfamily_name وnickname وpicture وwebsite وlocale وzoneinfo وupdated_at. ويعيد "email" المطالبتين email وemail_verified. ويخالف طلب نطاقات غير ضرورية مبدأ الحد الأدنى من الإفصاح، وقد يكشف بيانات مستخدم حساسة.

عند تنفيذ تسجيل الدخول عبر عدة موفري OIDC (مثل "Sign in with Google" و"Sign in with GitHub")، تصبح هجمات حقن المطالبات ممكنة. فإذا أنشأ مهاجم حسابًا لدى الموفر B باستخدام عنوان البريد الإلكتروني لضحية تستخدم الموفر A، فقد يتمكن من الوصول إذا طابق التطبيق الحسابات بالاعتماد على مطالبة البريد الإلكتروني وحدها. احرص دائمًا على مطابقة الحسابات باستخدام الزوج (iss, sub)، وليس البريد الإلكتروني وحده.

يعيد التدفق الهجين في OIDC (response_type=code id_token) كلًا من رمز التفويض ورمز ID من نقطة نهاية التفويض. ويتيح رمز ID التحقق الفوري من الهوية، بينما يُبادَل الرمز للحصول على الرموز عبر القناة الخلفية. ويُستخدم ذلك عندما يحتاج العميل إلى عرض معلومات المستخدم فورًا قبل إكمال تبادل الرموز عبر القناة الخلفية.

ما مجموعة المطالبات التي يجب على الطرف المعتمد التحقق منها في رمز ID الخاص بـ OIDC؟

يضيف OIDC رمز ID موقّعًا من نوع JWT إلى تدفقات OAuth 2.0. تحقّق من التوقيع (JWKS)، ومن iss (تطابق تام)، ومن aud (client_id)، ومن exp (عدم انتهاء الصلاحية)، ومن nonce (إذا أُرسل). توفر نقطة نهاية UserInfo مطالبات إضافية عبر النطاقات. طابق الحسابات باستخدام الزوج (iss, sub)، وليس البريد الإلكتروني وحده مطلقًا، لمنع حقن المطالبات. التدفق الضمني مُهمل؛ استخدم رمز التفويض مع PKCE في OIDC.