Open source
Komponenty, ktoré potrebuje takmer každý systém, staviame raz a otvorene. Aktuálne dva projekty: CentralAuth pre autentifikáciu a SancMeld pre preverovanie voči sankčným zoznamom.
Jeden autorizačný server a jedno BFF pre všetky projekty
Každý nový projekt si zvyčajne píše prihlasovanie, správu relácií a bránu pred svoje API odznova. CentralAuth to obracia: nový projekt sa jednoducho zaregistruje a svoje frontendy aj backendy dostane zabezpečené hneď v prvý deň.
Nový projekt
Prihlasovanie, obnova relácií, odhlásenie, kontrola oprávnení, brána pred API — v každom novom projekte tá istá práca. Tu ju nahradí registrácia aplikácie.
Kód, názov a interná adresa služby. Cesta /bff/{kód} vznikne automaticky.
Služba beží na internej sieti bez vystaveného portu. Zvonku sa k nej nedá dostať inak než cez BFF.
Volania idú na /bff/{kód}/… s prihlasovacou cookie. V projekte nepribudne ani riadok autentifikačného kódu.
Jedno miesto, kde sa rieši prihlasovanie pre všetky aplikácie.
Token sa do prehliadača nedostane. Nikdy.
Nová aplikácia je jeden záznam, nie ďalší kus konfigurácie.
Odobratý prístup platí okamžite, nie po vypršaní tokenu.
Ako to funguje
Frontend komunikuje výhradne s BFF a preukazuje sa podpísanou HttpOnly cookie. BFF pri každej požiadavke overí, či relácia stále platí, a až potom vydá krátkodobý token pre cieľové API. Ak sa útočníkovi podarí spustiť cudzí skript vo vašej aplikácii, nemá čo ukradnúť — a odobratý prístup platí okamžite, nie až keď vyprší token.
BFF je pritom transparentná proxy — požiadavky preposiela tak, ako ich frontend poslal. Pri vývoji a ladení preto vidíte reálne volania na API a pri hľadaní chyby netreba rekonštruovať, čo sa medzi vrstvami naozaj stalo. Celé riešenie je určené pre projekty, kde vlastné BFF ako ďalšia aplikačná vrstva nedáva zmysel — namiesto toho, aby si ho každý projekt staval a prevádzkoval sám, ho nahrádza jedno centrálne.
Prehliadač
HttpOnly cookie
BFF proxy
overí reláciu, vydá JWT
Chránené API
Bearer token
Druhý projekt
Preverovanie voči sankčným zoznamom EÚ, OSN a OFAC
.NET riešenie, ktoré sadou plánovaných cron úloh priebežne sťahuje dostupné sankčné zoznamy a vyhľadáva v nich zhody. Súčasťou je predikčný mechanizmus postavený na ML.NET, ktorý pomáha posúdiť, nakoľko je nájdená zhoda relevantná.
Spolupráca
Kód je otvorený a všetko si môžete spraviť sami. Ak chcete, vieme pomôcť — od podpory až po plne spravovanú službu.
Riešenie si prevádzkujete sami a od nás máte garantovanú pomoc — konzultácie, riešenie problémov a asistenciu pri aktualizáciách.
Celé riešenie nasadíme na váš server alebo do vášho cloudu a prevezmeme jeho správu — aktualizácie, monitoring aj bezpečnostné záplaty.
Nechcete nič prevádzkovať? Zakúpite si tenanta na našej inštancii a používate riešenie ako službu.
Autorizačný server je presne ten typ komponentu, ktorý si nikto nechce písať sám a zároveň mu musí vedieť dôveryhodne pozrieť pod kapotu. Uzavretý kód tú dôveru nedáva.
Riešenie si viete nasadiť a prevádzkovať vo vlastnej réžii — alebo si vybrať niektorý zo spôsobov spolupráce vyššie.
Postavené na štandardoch OpenID Connect a OAuth 2.0. Ak sa raz rozhodnete odísť, odchádzate so štandardným protokolom, nie s našou konvenciou.
Celý tok autorizácie viete prejsť riadok po riadku — vrátane vašich vlastných bezpečnostných auditov.
OpenIddict a ASP.NET Identity. Kryptografiu ani protokoly sme nevymýšľali nanovo, spojili sme ich do celku, ktorý sa dá nasadiť naraz.
Autorizačný server, BFF proxy, registrácia aplikácií aj administrácia fungujú. Na produkčné nasadenie riešenie ešte dolaďujeme a nechceme tvrdiť opak.