11

Mais uma vez falando sobre ASP.NET Identity. Existe outro tema dentro desse mesmo assunto que acredito ser de muita importância para a comunidade (principalmente para mim, o principal interessado). Trata-se de Windows Identity Foundation (WIF).

Do que se trata? Qual seria um exemplo básico de implantação apenas para fins didáticos?

0

2 Respostas 2

5
+50

Bom Acho que para um bom entendedor, não basta apenas traduzir alguma coisa do MSDN ou Wikipedia, Material Explicativo aqui.

Windows Identity Foundation (WIF) é uma estrutura de software da Microsoft para criação de aplicativos de "Identity-aware". Ele fornece APIs para a construção de ASP.NET ou WCF baseado em serviços de token de segurança, bem como ferramentas para a construção de aplicações capazes de reconhecimento de "claims-aware".

Claim-aware é uma forma comum para aplicações conseguirem informações sobre quem está logando (Identity) dentro da corporação, ou mesmo na Internet. Ele também fornece uma abordagem bem sólida para aplicativos em execução de intranet ou internet. A Autenticação com STS funciona com emissao de um token por um agente certificador de identidades. Leia sobre STS aqui

Um exemplo de autenticação com STS é nesse site: Nfp SP com acessando com a opção certificado digital.

Agora que você já está contextualizado, hora de por a mão na massa.

Para desenvolver uma aplicação com autenticação STS, primeiro é preciso de um servidor que seja assinado digitalmente para que este possa emitir o seu token. Depois é necessário adicionar esse certificado na sua Lista de TrustedIssuer (exemplo aqui)

Depois de isso tudo é necessário implementar uma autenticação baseada no Windows Federated Authentication. É muito comum usar smartcards para isso, apenas colocando o seu numero de PIN e desbloqueando o acesso a aplicação. Ah, o Cartão por sua vez precisa ser confeccionado por uma agência confiável, Por exemplo, a imprensa oficial.

O Exemplo que usarei é utilizando uma aplicação escrita em asp.net MVC autenticando pelo WIF.

public abstract class SecurityController : Controller
    {
        // Fields 
        private IdentitySection _identityConfig;

        // Methods 

        [AcceptVerbs(HttpVerbs.Post), ValidateInput(false), AllowAnonymous]
        protected ActionResult ProcessToken()
        {
            var wSFederationAuthenticationModule = FederatedAuthentication.WSFederationAuthenticationModule;
            string str = null;
            if (wSFederationAuthenticationModule.CanReadSignInResponse(System.Web.HttpContext.Current.Request, true))
            {
                str = System.Web.HttpContext.Current.Request.Form["wctx"];
            }
            return new RedirectResult(str ?? wSFederationAuthenticationModule.Reply);
        }

        [AllowAnonymous]
        public ActionResult SignIn(string issuer)
        {
            var wSFederationAuthenticationModule = FederatedAuthentication.WSFederationAuthenticationModule;
            string str = null;
            if (!base.User.Identity.IsAuthenticated)
            {
                str =
                    new SignInRequestMessage(new Uri(string.IsNullOrEmpty(issuer) ? wSFederationAuthenticationModule.Issuer : issuer),
                        wSFederationAuthenticationModule.Realm, wSFederationAuthenticationModule.Reply).WriteQueryString();
            }
            return new RedirectResult(str ?? wSFederationAuthenticationModule.Reply);
        }

        public ActionResult SignOut()
        {
            var wSFederationAuthenticationModule = FederatedAuthentication.WSFederationAuthenticationModule;
            if (base.User.Identity.IsAuthenticated)
            {
                wSFederationAuthenticationModule.SignOut(false);
            }
            return new RedirectResult(wSFederationAuthenticationModule.Reply);
        }

        // Properties
        protected IdentitySection IdentityConfig
        {
            get
            {
                return (this._identityConfig ?? (this._identityConfig = (IdentitySection)ConfigurationManager.GetSection("federatedMvc.identity")));
            }
        }

    }


federatedMvc.identity é uma seção do seu Web.Config que conterá suas chaves de segurança para o seu servidor STS.

Por exemplo:

  <federatedMvc.identity securityController="Seguranca">
    <authenticationUris>
      <add type="Certificate" uri="https://CapsuleCorp/Identity.STS.Certificado/Login.aspx" />

    </authenticationUris>
  </federatedMvc.identity>

Depois é necessário adicionar a seção <microsoft.identityModel> em seu web.config também. e depois apontar os itens necessário conforme exemplo:

<service>
      <audienceUris>
        <add value="http://CapsuleCorp.com/FindDragonBalls" />
      </audienceUris>
      <federatedAuthentication>
        <wsFederation passiveRedirectEnabled="false" persistentCookiesOnPassiveRedirects="false"
                      issuer="https://CapsuleCorp.com/Identity.STS.Certificado/Login.aspx"
        realm="http://CapsuleCorp.com/realm" reply="http://CapsuleCorp.com/home" requireHttps="false" />
        <cookieHandler requireSsl="false" />
      </federatedAuthentication>
      <certificateValidation certificateValidationMode="None" revocationMode="NoCheck" />
      <issuerNameRegistry type="Microsoft.IdentityModel.Tokens.ConfigurationBasedIssuerNameRegistry, Microsoft.IdentityModel, Version=3.5.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35">
        <trustedIssuers>
          <add name="CN=CapsuleCert" thumbprint="89cf12ef1f36a9bacaa4e813a44bb699bb46c359" />

        </trustedIssuers>
      </issuerNameRegistry>
    </service>

após isso voce pode consultar todas as claims retonada pelo serviço de claim, negar acesso ou redirecionar para algum lugar, ai o céu será o limite. E com isso, com base em cada claim, você poderá direcionar os seus esforços, qualquer dúvida nao hesite em perguntar.

1
  • Aquele que votou -1, deixe um comentário para que eu possa ajustar a resposta de maneira que você entenda também.
    – okevinlira
    Commented 23/05/2014 às 14:40
3

O WIF é um modelo de autorização baseado em claims (afirmações) e não apenas em roles (papéis) como é feito geralmente.

Com claims um usuário passa a ter mais informações sobre ele, por exemplo, idade igual a 18 anos e comida favorita é pizza, então no teu aplicativo você pode criar regras criativas sobre as claims. Por exemplo, uma determinada funcionalidade só estará disponível para os usuários maiores de idade (18 anos) e que gostam de pizza.

Este é um exemplo bem simplificado, mas para se aprofundar no assunto sugiro uma leitura no blog do Israel Aece (link abaixo) que tem vários posts em português sobre o assunto WIF e claims.

http://www.israelaece.com/category/WIF.aspx

Complementando, com um exemplo mais usual, imagine diversas características sobre uma pessoa no ambiente de trabalho, por exemplo, filial que ela trabalha, centro de custo, departamento, etc. Tudo isso podem ser afirmações, por exemplo, o Joaozinho trabalha no departamento de TI na filial São Paulo e possui 10 anos de empresa. Pois bem, o sistema de RH agora pode criar determinadas regras criativas (políticas) para permitir ou não o acesso a determinados processos do sistema, por exemplo, solicitar uma bonificação por tempo de serviço. Neste caso você poderia ter uma política que só permite essa solicitação para pessoas com mais de X anos de casa e de uma determinada filial. Sem ser por claims ficaria difícil representar na forma de papéis, a não ser criar um mecanismo próprio para isso.

Você deve fazer log-in para responder a esta pergunta.