Lasso

Présentation des prestations de SSO chez Entr'Ouvert.

Les projets

• Lasso: bibliothèque multi-langages pour utiliser un environnement Liberty Alliance
• Authentic: fournisseur d'identités (support LDAP)
• Larpe: reverse proxy, pour gérer Liberty Alliance sans toucher le code de l'application. Attention, cela ne fonctionne pas toujours, voir par exemple les services Libre-Entreprise qui n'ont pas pu être libertisés (cf. liste interne [1]).
• scalp: module Apache pour gérer une partie de la couche SSO. bzr branch http://perso.entrouvert.org/~fred/bzr/modscalp/. Cette solution ne gère pas les sessions, ni donc le SingleLogout. Elle simplifie l'implémentation de la phase d'authentification, tout étant réalisé dans une même session Apache, avec un résultat sous forme de variable d'environnement (donc pas de problème de confiance / de validation des entrées).
• mod_mellon: autre module Apache fait par d'autres personnes, pourrait remplacer mod_scalp à terme [2].

Exemples

• Libertisation de SPIP
• w.c.s. est un logiciel d'Entr'Ouvert qui utilise Lasso (configuration)
• Démo en ligne

Installation de test

Créer une paire de clef:

• Avec GnuTLS:

certtool --generate-privkey --outfile smthing-priv.pem
# TODO: export public counterpart

• Avec OpenSSL

openssl genrsa -out smthing-priv.pem
openssl rsa -in smthing-priv.pem -pubout > smthing-pub.pem

Obtenir un fichier XML de IDP: installer Authentic. La doc de référence est INSTALL. Elle est un peu spartiate, voici un complément:

• Récupérer Authentic

svn checkout svn://labs.libre-entreprise.org/svnroot/authentic/trunk authentic

• Paquets nécessaires:

aptitude install python-scgi libapache2-mod-scgi python-quixote
echo "deb http://deb.entrouvert.org etch main" >> /etc/apt/sources.list
aptitude update
aptitude install python-lasso

• Installer Authentic (/usr/share/authentic/, /usr/lib/python2.4/site-packages/authentic/, /usr/bin/authenticctl.py)

sudo python setup.py install

• Démarrer Authentic

useradd --home /var/lib/authentic authentic
mkdir -m 755 /var/lib/authentic
chown authentic: /var/lib/authentic
sudo -u authentic authenticctl.py start

• Paramétrer Apache (cf. INSTALL), par exemple pour Apache2+SCGI:

<VirtualHost *>
   ServerAdmin webmaster@localhost
   ServerName authentic.local
   DocumentRoot /usr/share/authentic/web/

   SCGIMount / 127.0.0.1:3002
   <LocationMatch "^/(css|images|js)/.*">
     SCGIHandler off
   </LocationMatch>
</VirtualHost>

• Relancer Apache:

a2enmod scgi
invoke-rc.d apache2 restart

• /etc/hosts:

127.0.0.1 authentic.local

• Suivre INSTALL, section "First Use" pour configurer un premier compte (http://authentic.local/admin/), puis demander Liberty Identity Provider Metadata.

Obtenir un fichier XML de SP: voir les didactitiels (tutorials) MAIS MAIS MAIS:

• ne mettez surtout pas d'espaces ou retours chariot autour de votre AssertionConsumerServiceURL comme dans l'exemple, car ils ne seront pas nettoyés et SCGI renverra une URL invalide (et du coup une erreur 500) :/
• le SingleLogoutProtocolProfile est http://projectliberty.org/profiles/slo-sp-soap et non pas http://projectliberty.org/profiles/slo-idp-soap (sp/service provider à la place de idp/identity provider)

Un autre exemple: http://wcs.entrouvert.org/liberty/metadata.xml

Documentation

• Page officielle
• Wiki d'Entr'Ouvert dont la version wiki de la doc Lasso [3].

Limitations

• Gestion d'erreur améliorable en PHP. La version de développement est en train de se débarrasser de SWIG pour régler la question [4] [5].

Autres

• Candle is a sample Liberty Attribute Provider
• Unwind is a sample Liberty Attributes Consumer
• Expression is a Liberty Alliance, WebDAV and XML based web application framework with its own HTTP server; written in Python
• Lasso Conformance Service Provider is a SAML 2.0 provider aimed to expose every aspect of SAML 2 protocols in the UI so they can be tested in conformance events
• IdPC: Liberty Alliance Identity Provider as a C CGI program - ancêtre de Authentic?
• Souk: ce projet, initialement un environnement de test, n'est non seulement plus maintenu mais également effacé, les auteurs recommandent d'utiliser Authentic à la place