1. LemonLDAP::NG LemonLDAP::NG Un WebSSO libre Clément OUDOT Consultant LINAGORA

3. Pourquoi faire du SSO ?

4. Qu'est-ce que le SSO ?

5. Comment fonctionne LemonLDAP::NG ?

6. Et les autres dans tout ça : CAS, OpenID, Shibboleth, SAML, ...

7. Ai-je bien tout compris à cette conférence ?

8. LemonLDAP::NG Bas les masques

10. Leader du projet LDAP Tool Box

11. Actif dans les communautés OpenLDAP et LDAP Synchronization Connector

12. Membre de la cellule Identité / Sécurité du Groupe LINAGORA depuis 2003

13. Collabore au produit LINAGORA LinID

14. LINAGORA : qui sommes nous Nos principaux clients Mission : Logiciels et services Open source pour réussir les grands projets du libre Fondée : Mai 2000 Capital: Capital privé (principalement détenu par les fondateurs) Nombre d'ingénieurs : 150

15. LINAGORA : nos métiers

16. LemonLDAP::NG Pourquoi moi ?

18. Les utilisateurs s'authentifient chez moi

20. Par contre les utilisateurs doivent toujours m'envoyer leur mot de passe

22. Qu'est qu'une attaque par force brute ?

23. Injection SQL, faille XSS ?

24. Expiration d'un mot de passe, conservation d'un historique, formulaire de changement de mot de passe ?

25. Comment changer mon mode d'authentification (biométrie, carte à puce, Kerberos, etc.) ?

27. Comment savoir que les informations de l'utilisateur ont changé ?

28. Comment savoir que l'utilisateur n'existe plus ?

29. Qui doit avoir accès à mon application, qui ne doit pas y accéder ?

30. Que faire quand l'utilisateur a perdu son mot de passe ?

31. LemonLDAP::NG Le WebSSO ?

33. Le WebSSO se consacre à l'authentification unique pour les applications Web, c'est-à-dire des applications client-serveur dont le client est un navigateur Web (IE, Firefox, etc.)

34. Le principe de base est d'intercepter les requêtes entre le client et le serveur, et indiquer au serveur que le client est bien authentifié

36. WebSSO par mandataire inverse

37. Délégation

38. Mandataire inverse (reverse proxy)

39. LemonLDAP::NG LemonLDAP::NG se présente

41. Comme Novell ou SiteMinder, LemonLDAP utilise des en-têtes HTTP pour propager l'identité de l'utilisateur

42. LemonLDAP::NG est une réécriture complète de LemonLDAP par Xavier GUIMARD (Gendarmerie Nationale, France) en 2005

43. Thomas CHEMINEAU et Clément OUDOT complètent l'équipe de développement

45. Le handler (Handler) : agent réalisant le contrôle des accès aux applications Web

47. Nécessite Apache et mod_perl

48. Vue macroscopique

49. Cinématique principale

51. Récupération des données d'authentification

52. Recherche de l'utilisateur

53. Authentification

54. Stockage des données dans la session

55. Écriture du cookie

56. Redirection (menu ou application demandée)

58. Utilisateurs : où trouver les données de l'utilisateur

61. Database

62. SSL X509

63. Apache built-in modules (Kerberos, OTP, ...)

64. SAML 2.0

65. OpenID

66. Twitter

67. CAS

69. Pas de WebService à appeler

72. Suppression du formulaire d'authentification

73. LemonLDAP::NG Et les autres ?

75. Documentation du protocole pour 1.0 et 2.0

76. Utilisation de tickets de service dans l'URL, avec validation par un lien dorsal

77. Possibilité de tickets proxy

78. Pas de partage d'attributs

79. Cinématique CAS

81. Aussi basé sur les redirections HTTP

82. Permet le partage d'attributs (mais plusieurs normes possibles...)

83. Pas de notion de cercle de confiance

84. Cinématique OpenID

86. Plusieurs méthodes : GET / POST / Artefact GET / Artefact POST

87. Cinématique SAML

89. LemonLDAP::NG peut fournir l'identité par CAS, OpenID et SAML (avec fourniture d'attributs pour OpenID et SAML)

90. LemonLDAP::NG peut agir comme un pont entre tous ces protocoles

91. LemonLDAP::NG Questions ?

92. LemonLDAP::NG Merci de votre attention