iWiW Fejlesztői Blog

Az alkalmazások lehetőségeit bemutatva írtam már róla, hogy az alkalmazás kommunikálni tud a külvilággal is, és megemlítettem, hogy lehetőség van ezt a kommunkációt hitelesíteni (ez az aláírt kommunikáció), vagyis bizonyíthatóan igazolni, hogy mely féltől érkezett a kérés. A bejegyzésben arról írok, hogy hogyan működik, mire használható ez a lehetőség.

Aláírt kommunikációra akkor van (leginkább) szükségünk, amikor egy felhasználó nevében saját szolgáltatáshoz fordulunk, és szeretnénk tudni, hogy:

• valóban az iWiW felől jött-e a HTTP kérés
• mely felhasználótól jött a kérés
• mely alkalmazástól jött a kérés

A felhasználói azonosítót ugyan átadhatjuk egy sima GET paraméterben is, továbbá azt is nézhetjük hogy mely IP címek felől érkezett a kérés, ellenben ezek nem sorolhatóak a biztonságos és jó megoldások körébe, mivel nem túl megbízhatóak. Például lehetséges egy adott alkalmazás oldalon, annak nevében kéréseket indítani - ekkor ha az alkalmazás teszi be a felhasználó azonosítóját a paraméterek közé akkor azt könnyen ki lehet cserélni, és más felhasználó nevében is lehet ténykedni (vagy olyan információhoz is hozzá lehet jutni, mely nem tartozik a trükközőre). Az IP címek is változhatnak idővel különösebb értesítés nélkül, az pedig nem jó ha emiatt akármennyi időre is működésképtelen lesz az alkalmazásunk, mert nem fogadja el az új címről a kéréseket.

A biztonságos megoldást az aláírt kérések jelentik, melyek használata nagyon egyszerű: a kérésben elküldött (GET/POST) paramétereket az iWiW OpenSocial motorja kiegészíti további paraméterekkel, többek között egy olyan ellenőrzőösszeggel, mely segítségével ellenőrizhető a kérés forrása. A kiegészítő információk a következők:

• opensocial_owner_id: az alkalmazás tulajdonosa
• opensocial_viewer_id: az alkalmazás nézője
• opensocial_app_id: az alkalmazás azonosítója
• opensocial_app_url: az alkalmazás XML-jének url-je

Az ellenőrzőösszeget a folyamat az összes paramétert figyelembe véve állítja elő felhasználva egy speciális kulcs értéket is, a végeredmény pedig a az oAuth szabvány aláírás szabályainak megfelelően képződik (az aláírt kéréseknek ennyi, és csak ennyi a köze az oAuthhoz, amiről még lesz szó, és ami amúgy teljesen másra jó). Az ellenőrzőösszeget kell leellenőriznünk a szerver oldalon, mert ez az, amit csak és kizárólag az iWiW fog tudni létrehozni, más “támadó harmadik fél” nem. Ha ez stimmel, akkor biztosak lehetünk benne, hogy az előbb felsorolt paraméterek is hitelesek, megbízhatóak.

Az oAuth szabvány nem definiálja kizárólagosan hogy mely algoritmust kell használni az aláírások készítéséhez, ezt a megvalósításra bízza rá. Az iWiW a következő algoritmusokat támogatja:

• RSA-SHA1: Egy egy nyílt kulcsú titkosítást használó algoritmus, avagy egy titkos és egy publikus kulcs segítségével történik az aláírás. Ezt az algoritmus az alapértelmezett iWiW kulccsal használható signed request kérések esetén. A titkos kulcs az iWiW-nél van és ezzel készül az ellenőrzőösszeg, míg a publikus kulcs segítségével ellenőrizhető hogy valóban az iWiW-től jött-e a kérés.
• HMAC-SHA1: Ez egy megosztott rejtett kulcsot használó algoritmus, avagy egy darab kulcs van csak, melyet mind titkosításkor, mind pedig ellenőrzéskor használni kell. Ez az algoritmus a fejlesztő által feltöltött kulcsokkal használható signed request és oAuth kérések esetén.
• HMAC_SYMMETRIC: ugyanúgy működik, mint a HMAC-SHA1.

Ennyit az elméletről, lássuk hogy hogyan működik mindez a gyakorlatban. Alapértelmezett esetben egy alkalmazásnál az RSA-SHA1 algoritmussal, az iWiW alapértelmezett kulcsaival működik az aláírás. A kérés indítása az alkalmazásunkban:

gadgets.io.makeRequest(
  "http://iwiw.example.com/request.url?param=iWiW",
  function(data){ alert(data.text); },
  {
    METHOD: gadgets.io.MethodType.GET,
    CONTENT_TYPE: gadgets.io.ContentType.TEXT,
    AUTHORIZATION: gadgets.io.AuthorizationType.SIGNED
  }
);

A szerver oldalt PHP-ben valósítottam meg, ehhez egy kész oAuth függvénykönyvtárat használtam, az oAuth.php fájl kellett belőle, ez lett betöltve. Más szerver oldali nyelvet használóknak segítséget nyújthat az oAuth oldalán levő felsorolás, az elv mindenhol ugyanaz, az elterjedtebb programozási nyelvekhez kész kódok érhetőek el.

A PHP kód tehát:

<?
include "oAuth.php";
 
class IWiWSignatureMethod extends OAuthSignatureMethod_RSA_SHA1 {
  protected function fetch_public_cert(&$request) {
    return <<<EOD
-----BEGIN CERTIFICATE-----
MIICRTCCAa4CCQCJTQjR2NRBSTANBgkqhkiG9w0BAQUFADBnMQswCQYDVQQGEwJI
VTERMA8GA1UECBMIQnVkYXBlc3QxETAPBgNVBAcTCEJ1ZGFwZXN0MREwDwYDVQQK
EwhJV0lXIEx0ZDENMAsGA1UECxMEaVdpVzEQMA4GA1UEAxMHaXdpdy5odTAeFw0w
ODA5MTgxMDAzMDVaFw0wOTA5MTgxMDAzMDVaMGcxCzAJBgNVBAYTAkhVMREwDwYD
VQQIEwhCdWRhcGVzdDERMA8GA1UEBxMIQnVkYXBlc3QxETAPBgNVBAoTCElXSVcg
THRkMQ0wCwYDVQQLEwRpV2lXMRAwDgYDVQQDEwdpd2l3Lmh1MIGfMA0GCSqGSIb3
DQEBAQUAA4GNADCBiQKBgQCgSymvAxyuISIufaSFEAiP1WpivlIlvIa7eIzpjA7H
JqmGtJzosi6IihqFTwthiriZ09d1J4R6jTeqm/CXKGcmUwTqBULxbZC1Yw6dGJMw
FjacooFvu5iHVAM3OFyG0DsMZWwT/XSexybc1+vPHdwkMSgZOg/FgoivahZlV3Mt
8QIDAQABMA0GCSqGSIb3DQEBBQUAA4GBACfd/y/nAXGXFShDXzFhsDC43izjIg13
STzhIUzsXVFg+zhik7XghjMsohMF99n6GYdRFIoRZpqMxIYQnnw5i10FIu57U39j
kwo4wtCVsSDq/C5un2kcTPJL+kH6P/8OzsaRRuuCn5N7rjGNtB4LvX/JIIxEfS+/
KR+yjqXrml+O
-----END CERTIFICATE-----
EOD;
  }
}
 
$request = OAuthRequest::from_request(null, null, array_merge($_GET, $_POST));
$signature_method = new IWiWSignatureMethod();
@$signature_valid = $signature_method->check_signature($request, null, null, $_GET["oauth_signature"]);
if ($signature_valid == true) {
  echo 'Hello '.$_GET['param'].'!';
  // echo $_GET['opensocial_owner_id'];
  // echo $_GET['opensocial_viewer_id'];
} else {
  echo 'Sikertelen hitelesítés.';
}
?>

Először definiálunk egy IWiWSignatureMethod osztályt mely a OAuthSignatureMethod_RSA_SHA1 osztály leszármazottja lesz, s amit az ellenőrzőösszeg kiszámításához fogunk felhasználni. Létrehozunk egy OAuthRequest objektumot, ami mind a GET-es, mind pedig a POST-os paramétereket megkapja, példányosítjuk az előbb létrehozott IWiWSignatureMethod osztályt, és meghívjuk a check_signature metódusát, mely le fogja ellenőrizni, hogy az oauth_signature GET paraméterben megfelelő érték jött-e. Ha igen, akkor visszaküldjük a kapott paramétert egy “Hello” előtaggal, ha nem, akkor megmondjuk hogy rossz volt a kérés.

Ha feltöltöttünk már egy kulcsot, akkor az aláírt kérések nem az iWiW alap kulcsát, hanem az általunk feltöltött kulcsot fogják használni, ezekhez HMAC_SHA1 vagy HMAC_SYMMETRIC kódolást választhatunk. Ezek ahogy az előbb is említettem, nem publikus és titkos kulcspárt használnak, hanem egy megosztott rejtett kulcsot. Ez a kulcs “bármilyen” szövegrészlet lehet, persze érdemes egy megfelelően hosszú, véletlenszerűhöz közelítő, nem kitalálható kulcsot választani. A következő tehát rossz példa:

Az előbb használt PHP-s oAuth kódkönyvtár a HMAC-SHA1 kódolást támogatja, ezért én ezt választottam. A kliens oldali kódunk teljesen változatlan, míg a szerver oldali kód a következőképpen alakul:

<?                                                                                                                                                                                 
include "oAuth.php";                                                                                                                                                               
 
$request = OAuthRequest::from_request(null, null, array_merge($_GET, $_POST));                                                                                                   
$consumer = new OAuthConsumer($_GET['oauth_consumer_key'], 'teszt kulacs', NULL);                                                                                                
$signature_method = new OAuthSignatureMethod_HMAC_SHA1();                                                                                                                        
@$signature_valid = $signature_method->check_signature($request, $consumer, null, $_GET["oauth_signature"]);                                                                     
if ($signature_valid == true) {
  echo 'Hello '.$_GET['param'].'!';
  // echo $_GET['opensocial_owner_id'];
  // echo $_GET['opensocial_viewer_id'];
} else {
  echo 'Sikertelen hitelesítés.';
}
?>

Először létrehozunk egy OAuthRequest objektumot, ami mind a GET-es, mind pedig a POST-os paramétereket megkapja, példányosítunk egy OAuthConsumer objektumot és egy oAuthSignatureMethod_HMAC_SHA1 osztályt, és meghívjuk ez utóbbi  check_signature metódusát, mely le fogja ellenőrizni, hogy az oauth_signature GET paraméterben megfelelő érték jött-e. Végül ha igen, akkor ahogy az előbb is, visszaküldjük a kapott paramétert egy “Hello” előtaggal, ha nem, akkor megmondjuk hogy rossz volt a kérés.

A kulcs nevének érdemes egy a kulcs használóját, funkcióját beazonosító karaktersorozatot választani, például “example.com”, “example.com/app1″, de ezek nem kötöttségek, csak javaslatok.

A funkció használatához jellemzően elegendő lehet ennyi ismeret, de célszerű lehet utána olvasni az oAuth-nak, a kriptográfiának általában, a nyílt kulcsú titkosításnak, az RSA eljárásnak és az egyéb kapcsolódó témaköröknek, hogy tudjuk pontosan mit használunk, és hogyan működik.