otevrenamesta / node-nia-connector

library for easy connecting to NIA - identity provider - with node

node NIA connector

NIA umožňuje autentikaci pomocí Indentity Provideru (IdP) komunikujícího pomocí SAML2 protokolu. Tato knihovna má za cíl nabídnout vyzkoušené řešení napojení na NIA IdP.

nastavení na straně NIA

Nejjednodušší je kontaktovat Marka Seberu, který je ochoten založit "testovací SeP". K tomu potřebuje veřejný certifikát "moje.crt" vašeho Sep, adresu kde poběží, cestu k POST handleru odpovědi na přihlášení (assert_endpoint) a odhlášení. Certifikát a k němu privátní klíč se dá udělat takto:

openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout moje.key -out moje.crt

inicializace

import fs from 'fs'
import express from 'express'
import bodyParser from 'body-parser'
import NIA from 'nia-connector'

process.env.KEY_FILE = 'moje.key'
process.env.CERT_FILE = 'moje.crt'

const NIAConnector = new NIA({
  audience: 'https://vxk.pagekite.me/',
  private_key: fs.readFileSync(process.env.KEY_FILE).toString(),
  certificate: fs.readFileSync(process.env.CERT_FILE).toString(),
  assert_endpoint: 'https://vxk.pagekite.me/ExternalLogin'
})

Kompletní příklad použití viz. testovací server.

konfigurace

Pomocí ENVVARS:

• METADATA_URL: url IdP metadat. Default testovaci NIA

node-nia-connector's Issues

Načtení IdP metadat

jeden z konfiguračních parametrů NIA by měla být URL adresa k metadatům IdP, kvůli získání aktuálních URL adres SSO/SLO a validaci že lokálně známý certifikát IdP souhlasí (případně, že alespoň souhlasí CA, tj. PostSignum)

Případně konfigurační pár URL metadat a CRT očekávaný IdP certifikát

Validace certifikátu podepisujícího IdP dokumenty

Pokud je lokálně načtený konkrétní certifikát IdP nebo je dostupná CA, měly by metody zpracovávající dokumenty z IdP (metadata, samlp:Response odpověď na přihlášení, ...) validovat, zda jsou dokumenty podepsány důvěryhodným certifikátem, jinak si přihlášení zašifrované tvým veřejným certifikátem dokážu nafingovat sám

V případě metadat ideálně validovat že celá signatura dokumentu (xmldsig) je platná a vytvořená důvěryhodným certifikátem, případně i srovnat že IDPSSODescriptor.KeyDescriptor popisuje stejný certifikát, jakým je dokument podepsán a kterému je důvěřováno

SeP metadata funkcionalita

https://nia.otevrenamesta.cz/sep-info-metadata