Lasso

Présentation des prestations de SSO chez Entr'Ouvert.

Les spécifications

ID-FF 1.2: conçue par le consortium Liberty Alliance
SAML V2.0 qui fait converger ID-FF et les versions antérieures de SAML, chapeautée par l'OASIS

Les projets

Lasso: bibliothèque multi-langages pour utiliser un environnement Liberty Alliance
Authentic: fournisseur d'identités (support LDAP)
Larpe: reverse proxy, pour gérer Liberty Alliance sans toucher le code de l'application. Attention, cela ne fonctionne pas toujours, voir par exemple les services Libre-Entreprise qui n'ont pas pu être libertisés (cf. liste interne [1]).
scalp: module Apache pour gérer une partie de la couche SSO. bzr branch http://perso.entrouvert.org/~fred/bzr/modscalp/. Cette solution ne gère pas les sessions, ni donc le SingleLogout. Elle simplifie l'implémentation de la phase d'authentification, tout étant réalisé dans une même session Apache, avec un résultat sous forme de variable d'environnement (donc pas de problème de confiance / de validation des entrées).
mod_mellon: autre module Apache fait par d'autres personnes, pourrait remplacer mod_scalp à terme [2].

Exemples

Libertisation de SPIP
w.c.s. est un logiciel d'Entr'Ouvert qui utilise Lasso (configuration)
Démo en ligne

Installation de test

Créer une paire de clef:

Avec GnuTLS:

certtool --generate-privkey --outfile smthing-priv.pem
# TODO: export public counterpart

Avec OpenSSL

openssl genrsa -out smthing-priv.pem
openssl rsa -in smthing-priv.pem -pubout > smthing-pub.pem

Obtenir un fichier XML de IDP: installer Authentic. La doc de référence est INSTALL. Elle est un peu spartiate, voici un complément:

Récupérer Authentic

svn checkout svn://labs.libre-entreprise.org/svnroot/authentic/trunk authentic

Paquets nécessaires:

aptitude install python-scgi libapache2-mod-scgi python-quixote
echo "deb http://deb.entrouvert.org etch main" >> /etc/apt/sources.list
aptitude update
aptitude install python-lasso

Installer Authentic (/usr/share/authentic/, /usr/lib/python2.4/site-packages/authentic/, /usr/bin/authenticctl.py)

sudo python setup.py install

Démarrer Authentic

useradd --home /var/lib/authentic authentic
mkdir -m 755 /var/lib/authentic
chown authentic: /var/lib/authentic
sudo -u authentic authenticctl.py start

Paramétrer Apache (cf. INSTALL), par exemple pour Apache2+SCGI:

<VirtualHost *>
  ServerAdmin webmaster@localhost
  ServerName authentic.local
  DocumentRoot /usr/share/authentic/web/
  Alias /qo/ /usr/share/authentic/qommon/
  Alias /themes/ /usr/share/authentic/themes/

  SCGIMount / 127.0.0.1:3002
  <LocationMatch "^/(css|images|js|qo|themes)/.*">
    SCGIHandler off
  </LocationMatch>
</VirtualHost>

Relancer Apache:

a2enmod scgi
invoke-rc.d apache2 restart

/etc/hosts:

127.0.0.1 authentic.local

Suivre INSTALL, section "First Use" pour configurer un premier compte (http://authentic.local/admin/), puis demander Liberty Identity Provider Metadata.

Obtenir un fichier XML de SP: voir les didactitiels (tutorials) MAIS MAIS MAIS:

ne mettez surtout pas d'espaces ou retours chariot autour de votre AssertionConsumerServiceURL comme dans l'exemple, car ils ne seront pas nettoyés et SCGI renverra une URL invalide (et du coup une erreur 500) :/
le SingleLogoutProtocolProfile est http://projectliberty.org/profiles/slo-sp-soap et non pas http://projectliberty.org/profiles/slo-idp-soap (sp/service provider à la place de idp/identity provider)

Un autre exemple: http://wcs.entrouvert.org/liberty/metadata.xml

Documentation

Page officielle
Wiki d'Entr'Ouvert dont la version wiki de la doc Lasso [3].

Limitations

Gestion d'erreur améliorable en PHP. La version de développement est en train de se débarrasser de SWIG pour régler la question [4] [5].

Autres

Candle is a sample Liberty Attribute Provider
Unwind is a sample Liberty Attributes Consumer
Expression is a Liberty Alliance, WebDAV and XML based web application framework with its own HTTP server; written in Python
Lasso Conformance Service Provider is a SAML 2.0 provider aimed to expose every aspect of SAML 2 protocols in the UI so they can be tested in conformance events
IdPC: Liberty Alliance Identity Provider as a C CGI program - ancêtre de Authentic?
Souk: ce projet, initialement un environnement de test, n'est non seulement plus maintenu mais également effacé, les auteurs recommandent d'utiliser Authentic à la place
SAML: article sur Wikipédia anglophone