IAM-06: sso-anmeldung-ueber-oidc
internal/oidc: JWKS-Parser (RSA-Schluessel, RFC 7517) + Verifier prueft ID-Tokens gegen den geparsten Schluesselsatz (Signatur, Ablauf ueber die jwt-Bibliothek, Aussteller) — Akzeptanzkriterium 3. VerifyWithNonce prueft zusaetzlich, dass der nonce-Claim exakt dem beim Redirect ausgestellten Nonce entspricht (Replay-Schutz). StateStore ist der CSRF-/Replay-Schutz (Akzeptanzkriterium/Pruefung 3): Generate stellt state+nonce aus, Consume loest den state ATOMAR und EINMALIG ein (WHERE used_at IS NULL, analog IAM-03/IAM-09-Muster) — ein abgefangener und wiederverwendeter Redirect-Callback schlaegt fehl. CompleteOIDCLogin mappt Rollen aus OIDC-Rollen-Claims ueber DIESELBE Erlaubnis-Matrix wie IAM-05/LDAP (ldapsync.RoleMappingStore.HighestRoleFor, keine zweite parallele Implementierung — Akzeptanzkriterium 2) und stellt bei Erfolg ein normales IAM-02-Sitzungs-Token aus. Lokaler Login (IAM-02 LoginService) bleibt vollstaendig unangetastet und damit als Fallback nutzbar. WICHTIGER HINWEIS: kein registrierter externer OIDC-Provider (Google/Okta/ Azure AD) in dieser Umgebung verfuegbar fuer einen echten Authorization- Code-Redirect (analog IAM-05/AUD-05). ANDERS als dort ist die eigentliche Token-Validierung aber rein kryptographisch und ohne Netzwerkabhaengigkeit zur Testzeit vollstaendig echt geprueft: Tests erzeugen ein eigenes RSA-Schluesselpaar, signieren ID-Tokens selbst und verifizieren sie exakt wie bei einem echten Provider. Nur der Live-Redirect zu einem realen externen IdP bleibt ungeprueft. Pruefungen (ausgefuehrt auf root@192.168.1.131, go build/vet/test PASS): 1. Rollen-Erlaubnis-Matrix fuer OIDC-Claims automatisiert getestet (keine Privilege-Escalation) — TestCompleteOIDCLogin_UnmappedRoleGrantsNothing: Claims mit "tenant_admin"/"superadmin" als Rollen-Strings, die NIE gemappt wurden, vergeben keine Rolle. PASS. 2. Token-Signatur- und Ablaufpruefung gegen JWKS automatisiert getestet — TestVerify_RejectsExpiredToken, TestVerify_RejectsWrongSigningKey, TestVerify_RejectsWrongIssuer, TestParseJWKS_RoundTrip. PASS. 3. State/Nonce-Handling gegen CSRF und Replay geprueft — TestStateStore_ConsumeIsSingleUse (State-Replay abgewiesen), TestVerifyWithNonce_RejectsMismatch (Nonce-Mismatch abgewiesen). PASS. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
This commit is contained in:
sysops
co-authored by
Claude Sonnet 5
Claude Sonnet 5
parent
1a82da211d
commit
e4856dfc9d
@@ -0,0 +1,184 @@
|
||||
package oidc
|
||||
|
||||
import (
|
||||
"crypto/rand"
|
||||
"crypto/rsa"
|
||||
"encoding/base64"
|
||||
"encoding/binary"
|
||||
"encoding/json"
|
||||
"testing"
|
||||
"time"
|
||||
|
||||
"github.com/golang-jwt/jwt/v5"
|
||||
)
|
||||
|
||||
func generateTestKey(t *testing.T) *rsa.PrivateKey {
|
||||
t.Helper()
|
||||
key, err := rsa.GenerateKey(rand.Reader, 2048)
|
||||
if err != nil {
|
||||
t.Fatalf("generate rsa key: %v", err)
|
||||
}
|
||||
return key
|
||||
}
|
||||
|
||||
func signTestToken(t *testing.T, key *rsa.PrivateKey, kid string, claims Claims) string {
|
||||
t.Helper()
|
||||
token := jwt.NewWithClaims(jwt.SigningMethodRS256, claims)
|
||||
token.Header["kid"] = kid
|
||||
s, err := token.SignedString(key)
|
||||
if err != nil {
|
||||
t.Fatalf("sign token: %v", err)
|
||||
}
|
||||
return s
|
||||
}
|
||||
|
||||
func TestVerify_AcceptsValidToken(t *testing.T) {
|
||||
key := generateTestKey(t)
|
||||
verifier := NewVerifier(map[string]*rsa.PublicKey{"kid-1": &key.PublicKey}, "https://idp.example.com")
|
||||
|
||||
claims := Claims{
|
||||
Subject: "user-123",
|
||||
Email: "person@example.com",
|
||||
Nonce: "erwarteter-nonce",
|
||||
RegisteredClaims: jwt.RegisteredClaims{
|
||||
Issuer: "https://idp.example.com",
|
||||
ExpiresAt: jwt.NewNumericDate(time.Now().Add(time.Hour)),
|
||||
},
|
||||
}
|
||||
tok := signTestToken(t, key, "kid-1", claims)
|
||||
|
||||
got, err := verifier.Verify(tok)
|
||||
if err != nil {
|
||||
t.Fatalf("verify: %v", err)
|
||||
}
|
||||
if got.Email != "person@example.com" {
|
||||
t.Fatalf("email = %q", got.Email)
|
||||
}
|
||||
}
|
||||
|
||||
// Akzeptanzkriterium 3 + Pruefung 2: Token-Signatur- und Ablaufpruefung.
|
||||
func TestVerify_RejectsExpiredToken(t *testing.T) {
|
||||
key := generateTestKey(t)
|
||||
verifier := NewVerifier(map[string]*rsa.PublicKey{"kid-1": &key.PublicKey}, "https://idp.example.com")
|
||||
|
||||
claims := Claims{
|
||||
Subject: "user-123",
|
||||
RegisteredClaims: jwt.RegisteredClaims{
|
||||
Issuer: "https://idp.example.com",
|
||||
ExpiresAt: jwt.NewNumericDate(time.Now().Add(-time.Hour)), // abgelaufen
|
||||
},
|
||||
}
|
||||
tok := signTestToken(t, key, "kid-1", claims)
|
||||
|
||||
if _, err := verifier.Verify(tok); err == nil {
|
||||
t.Fatal("erwartet fehler bei abgelaufenem token")
|
||||
}
|
||||
}
|
||||
|
||||
func TestVerify_RejectsWrongSigningKey(t *testing.T) {
|
||||
realKey := generateTestKey(t)
|
||||
attackerKey := generateTestKey(t)
|
||||
// Verifier kennt NUR den echten oeffentlichen Schluessel.
|
||||
verifier := NewVerifier(map[string]*rsa.PublicKey{"kid-1": &realKey.PublicKey}, "https://idp.example.com")
|
||||
|
||||
claims := Claims{
|
||||
Subject: "user-123",
|
||||
RegisteredClaims: jwt.RegisteredClaims{
|
||||
Issuer: "https://idp.example.com",
|
||||
ExpiresAt: jwt.NewNumericDate(time.Now().Add(time.Hour)),
|
||||
},
|
||||
}
|
||||
// Mit dem Angreifer-Schluessel signiert, aber unter demselben kid wie der echte.
|
||||
tok := signTestToken(t, attackerKey, "kid-1", claims)
|
||||
|
||||
if _, err := verifier.Verify(tok); err == nil {
|
||||
t.Fatal("erwartet fehler bei fremd signiertem token")
|
||||
}
|
||||
}
|
||||
|
||||
func TestVerify_RejectsWrongIssuer(t *testing.T) {
|
||||
key := generateTestKey(t)
|
||||
verifier := NewVerifier(map[string]*rsa.PublicKey{"kid-1": &key.PublicKey}, "https://idp.example.com")
|
||||
|
||||
claims := Claims{
|
||||
Subject: "user-123",
|
||||
RegisteredClaims: jwt.RegisteredClaims{
|
||||
Issuer: "https://ganz-anderer-idp.example.com",
|
||||
ExpiresAt: jwt.NewNumericDate(time.Now().Add(time.Hour)),
|
||||
},
|
||||
}
|
||||
tok := signTestToken(t, key, "kid-1", claims)
|
||||
|
||||
if _, err := verifier.Verify(tok); err == nil {
|
||||
t.Fatal("erwartet fehler bei unerwartetem aussteller")
|
||||
}
|
||||
}
|
||||
|
||||
// Akzeptanzkriterium/Pruefung 3: Nonce-Handling gegen Replay.
|
||||
func TestVerifyWithNonce_RejectsMismatch(t *testing.T) {
|
||||
key := generateTestKey(t)
|
||||
verifier := NewVerifier(map[string]*rsa.PublicKey{"kid-1": &key.PublicKey}, "https://idp.example.com")
|
||||
|
||||
claims := Claims{
|
||||
Subject: "user-123",
|
||||
Nonce: "nonce-a",
|
||||
RegisteredClaims: jwt.RegisteredClaims{
|
||||
Issuer: "https://idp.example.com",
|
||||
ExpiresAt: jwt.NewNumericDate(time.Now().Add(time.Hour)),
|
||||
},
|
||||
}
|
||||
tok := signTestToken(t, key, "kid-1", claims)
|
||||
|
||||
if _, err := verifier.VerifyWithNonce(tok, "nonce-b"); err == nil {
|
||||
t.Fatal("erwartet fehler bei nonce-mismatch (moeglicher replay eines fremden tokens)")
|
||||
}
|
||||
if _, err := verifier.VerifyWithNonce(tok, "nonce-a"); err != nil {
|
||||
t.Fatalf("erwartet erfolg bei passendem nonce: %v", err)
|
||||
}
|
||||
}
|
||||
|
||||
func TestParseJWKS_RoundTrip(t *testing.T) {
|
||||
key := generateTestKey(t)
|
||||
|
||||
nBytes := key.PublicKey.N.Bytes()
|
||||
eBuf := make([]byte, 8)
|
||||
binary.BigEndian.PutUint64(eBuf, uint64(key.PublicKey.E))
|
||||
// Fuehrende Nullbytes des Exponenten abschneiden (ueblich bei JWK-Kodierung).
|
||||
eStart := 0
|
||||
for eStart < len(eBuf)-1 && eBuf[eStart] == 0 {
|
||||
eStart++
|
||||
}
|
||||
|
||||
set := jwkSet{Keys: []jwk{{
|
||||
Kid: "kid-1",
|
||||
Kty: "RSA",
|
||||
N: base64.RawURLEncoding.EncodeToString(nBytes),
|
||||
E: base64.RawURLEncoding.EncodeToString(eBuf[eStart:]),
|
||||
}}}
|
||||
data, err := json.Marshal(set)
|
||||
if err != nil {
|
||||
t.Fatalf("marshal: %v", err)
|
||||
}
|
||||
|
||||
parsed, err := ParseJWKS(data)
|
||||
if err != nil {
|
||||
t.Fatalf("parse jwks: %v", err)
|
||||
}
|
||||
got, ok := parsed["kid-1"]
|
||||
if !ok {
|
||||
t.Fatal("erwartet kid-1 im ergebnis")
|
||||
}
|
||||
if got.E != key.PublicKey.E || got.N.Cmp(key.PublicKey.N) != 0 {
|
||||
t.Fatalf("erwartet identischen oeffentlichen schluessel nach roundtrip")
|
||||
}
|
||||
|
||||
// Der wiederhergestellte Schluessel muss ein damit signiertes Token auch tatsaechlich verifizieren.
|
||||
verifier := NewVerifier(parsed, "https://idp.example.com")
|
||||
claims := Claims{Subject: "x", RegisteredClaims: jwt.RegisteredClaims{
|
||||
Issuer: "https://idp.example.com", ExpiresAt: jwt.NewNumericDate(time.Now().Add(time.Hour)),
|
||||
}}
|
||||
tok := signTestToken(t, key, "kid-1", claims)
|
||||
if _, err := verifier.Verify(tok); err != nil {
|
||||
t.Fatalf("verify mit aus jwks wiederhergestelltem schluessel: %v", err)
|
||||
}
|
||||
}
|
||||
Reference in New Issue
Block a user