Open source
A komponenseket, amelyekre szinte minden rendszernek szüksége van, egyszer és nyíltan építjük meg. Jelenleg két projekt: a CentralAuth az autentikációra és a SancMeld a szankciós listák szűrésére.
Egy autorizációs szerver és egy BFF minden projekthez
Minden új projekt általában újraírja a bejelentkezést, a munkamenet-kezelést és az API-ja előtti kaput. A CentralAuth ezt megfordítja: az új projekt egyszerűen regisztrál, és a frontendjei meg a backendjei már az első naptól védettek.
Új projekt
Bejelentkezés, munkamenet-frissítés, kijelentkezés, jogosultság-ellenőrzés, kapu az API előtt — minden új projektben ugyanaz a munka. Itt mindezt az alkalmazás regisztrációja váltja ki.
Kód, név és a szolgáltatás belső címe. A /bff/{kód} útvonal automatikusan létrejön.
A szolgáltatás a belső hálózaton fut, nyitott port nélkül. Kívülről csak a BFF-en keresztül érhető el.
A hívások a /bff/{kód}/… címre mennek a bejelentkezési cookie-val. A projekthez egyetlen sor autentikációs kód sem kerül.
Egyetlen hely, ahol minden alkalmazás bejelentkezése történik.
A token nem kerül a böngészőbe. Soha.
Egy új alkalmazás egyetlen bejegyzés, nem újabb adag konfiguráció.
A visszavont hozzáférés azonnal érvényes, nem a token lejártakor.
Hogyan működik
A frontend kizárólag a BFF-fel kommunikál, és aláírt HttpOnly cookie-val azonosítja magát. A BFF minden kérésnél ellenőrzi, hogy a munkamenet még érvényes-e, és csak azután ad ki rövid életű tokent a cél-API-hoz. Ha egy támadónak sikerül idegen szkriptet futtatnia az alkalmazásában, nincs mit ellopnia — a visszavont hozzáférés pedig azonnal érvényes, nem csak a token lejártakor.
A BFF eközben átlátszó proxy — a kéréseket úgy továbbítja, ahogy a frontend elküldte őket. Fejlesztés és hibakeresés közben ezért a valós API-hívásokat látja, és a hiba keresésekor nem kell rekonstruálni, mi történt valójában a rétegek között. Az egész megoldás olyan projektekhez készült, ahol a saját BFF mint külön alkalmazásréteg nem éri meg — ahelyett, hogy minden projekt maga építené és üzemeltetné, egyetlen központi váltja ki.
Böngésző
HttpOnly cookie
BFF proxy
ellenőrzi a munkamenetet, JWT-t ad ki
Védett API
Bearer token
Második projekt
Szűrés az EU, az ENSZ és az OFAC szankciós listái ellen
Egy .NET megoldás, amely ütemezett cron feladatokkal folyamatosan letölti az elérhető szankciós listákat, és egyezéseket keres bennük. Része egy ML.NET-re épített predikciós mechanizmus, amely segít megítélni, mennyire releváns a talált egyezés.
Együttműködés
A kód nyílt, mindent megcsinálhat saját maga. Ha szeretné, segítünk — a támogatástól a teljesen felügyelt szolgáltatásig.
A megoldást saját maga üzemelteti, tőlünk pedig garantált segítséget kap — konzultációt, hibaelhárítást és segítséget a frissítéseknél.
A teljes megoldást telepítjük az önök szerverére vagy felhőjébe, és átvesszük az üzemeltetését — frissítések, monitoring és biztonsági javítások.
Nem szeretne semmit üzemeltetni? Vásároljon tenantot a mi példányunkon, és használja a megoldást szolgáltatásként.
Az autorizációs szerver pontosan az a fajta komponens, amelyet senki sem akar maga megírni, ugyanakkor hitelt érdemlően bele kell tudnia nézni a motorháztető alá. Zárt kód ezt a bizalmat nem adja meg.
A megoldást saját hatáskörben is telepítheti és üzemeltetheti — vagy választhat a fenti együttműködési lehetőségek közül.
Az OpenID Connect és az OAuth 2.0 szabványaira épül. Ha egyszer a távozás mellett dönt, szabványos protokollal távozik, nem a mi konvenciónkkal.
A teljes autorizációs folyamatot sorról sorra végignézheti — akár a saját biztonsági auditjai keretében is.
OpenIddict és ASP.NET Identity. Sem a kriptográfiát, sem a protokollokat nem találtuk fel újra — egyetlen, egyben telepíthető egésszé kapcsoltuk össze őket.
Az autorizációs szerver, a BFF proxy, az alkalmazások regisztrációja és az adminisztráció is működik. A produkciós bevezetéshez a megoldást még finomítjuk, és nem akarjuk az ellenkezőjét állítani.