Authlete FAPI Implementation Part 2 #fapisum - Japan/UK Open Banking and APIs Summit 2018 - July 24, 2018

4. FAPI 仕様群 Part 1: Read Only API Security Profile Part 2: Read and Write API Security Profile Part 3: Open Data API Part 4: Protected Data API and Schema - Read only Part 5: Protected Data API and Schema - Read and Write 認可サーバーを実装する上で重要 © 2018 Authlete, Inc. 4

5. Part 1: Read Only API Security Profile 5.2.2. Authorization server • コンフィデンシャルクライアントのサポートが必須 • パブリッククライアントに対して PKCE の実施が必須 • 認可リクエストに redirect_uri パラメーターが必須 etc... Part 2: Read and Write API Security Profile 5.2.2. Authorization server (Part 1 の事項に加えて) • リクエストオブジェクトのサポートが必須 • response type は “code id_token” もしくは “code id_token token” でなければならない • Holder-of-key のメカニズムとして OAUTB あるいは MTLS のサポートが必須 etc... Read Only と Read and Write で認可サーバーの振る舞いが異なる © 2018 Authlete, Inc. 5

9. 認可サーバー (FAPI 対応済) 1. read_account スコープが “fapi : r“ 属性に紐づくと判る 2. “fapi : r“ 属性は Read Only に対応すると判る 3. このリクエストを Read Only の仕様に従って処理するクライアントアプリ認可リクエスト https://example.com/authorization ?response_type=code+id_token &client_id=123456789 &scope=openid+read_account … © 2018 Authlete, Inc. 9

12. FAPI - Part 2: Read and Write API Security Profile 5.2.2 Authorization server … In addition, the authorization server, for the write operation, 10. shall require that all parameters are present inside the signed request object; 「全てのパラメーターが署名されたリクエストオブジェクト内に存在する」ということを認可サーバーは要求するものとする © 2018 Authlete, Inc. 12

13. https://example.com/authorization ?response_type=code+id_token &client_id=123456789 &scope=openid &request=eyJhbGciOiJFUzI… … 認可リクエスト { "response_type": "code id_token", "client_id": "123456789", "scope": "openid", … } リクエストオブジェクトをデコードして得られる JSON リクエストオブジェクトの中を覗いて各リクエストパラメーターの名前と値が合致することを文字列比較でチェック！検証: 全てのパラメーターがリクエストオブジェクト内に存在する © 2018 Authlete, Inc. 13

15. https://example.com/authorization ?response_type=code+id_token &client_id=123456789 &scope=openid &request=eyJhbGciOiJFUzI… &claims=%7B%22key1%22%3A% 22value1%22%2C%22key2%22% 3A%22value2%22%7D%0D%0A … 認可リクエスト {"key1":"value1","key2":"value2"} デコード二つの JSON が等しいかどうかを文字列比較でチェック？？？ { "response_type": "code id_token", "client_id": "123456789", "scope": "openid", "claims": {"key1":"value1","key2":"value2"} … } リクエストオブジェクトをデコードして得られる JSON © 2018 Authlete, Inc. 15

19. {"key1":"value1","key2":"value2"} key1:value1 子ノード key2:value2 子ノード親ノードダイジェストオブジェクトにマッピング比較 key1:value1 子ノード key2:value2 子ノード親ノードノードをキーで並び替え {"key2":"value2","key1":"value1"} key2:value2 子ノード key1:value1 子ノード親ノードダイジェストオブジェクトにマッピング key1:value1 子ノード key2:value2 子ノード親ノードノードをキーで並び替え © 2018 Authlete, Inc. 19

23. © 2018 Authlete, Inc. ワールドワイドに多数の利用実績 & 有力企業様も活用採用実績例コンシューマーIAMソリューション「Uni-ID Libra」の認可エンジンとして採用ユーザープロファイル（地域別） Grand Prize Winner ヘルスケアサービス「ルナルナ」等で採用 API 公開基盤「Resonatex」に採用銀行APIの認可基盤として採用 FinTech企業との連携PoCにおいて活用 IoTプラットフォームにて採用各種サービスの認可サーバとして採用 IBM 賞受賞歴 49% 21% 14% 12% 3% 1% Japan North America Europe Asia Central/South America Africa 23

Authlete FAPI Implementation Part 2 #fapisum - Japan/UK Open Banking and APIs Summit 2018 - July 24, 2018

Authlete FAPI Implementation Part 2 #fapisum - Japan/UK Open Banking and APIs Summit 2018 - July 24, 2018

Recommended

More Related Content

More from FinTechLabs.io

More from FinTechLabs.io(6)

Authlete FAPI Implementation Part 2 #fapisum - Japan/UK Open Banking and APIs Summit 2018 - July 24, 2018