Impostazioni OAuth2 Avanzate

Auris supporta quattro funzionalità OAuth2 avanzate oltre al flusso standard Authorization Code + PKCE: Device Authorization Flow, Client-Initiated Backchannel Authentication (CIBA), DPoP (Demonstration of Proof-of-Possession) e Token Exchange. Ogni funzionalità è configurata per applicazione e può essere abilitata indipendentemente.

Queste funzionalità affrontano scenari enterprise come l’autenticazione su dispositivi con input limitato (smart TV, strumenti CLI), l’autenticazione avviata dal server (call center, approvazioni kiosk), la crittografia sender-constraining dei token e la delega controllata dell’identità.

Accedi tramite Console → Applicazioni → seleziona un’applicazione → scheda Impostazioni.

Device Authorization Flow (RFC 8628)

Il Device Authorization Flow consente agli utenti di autenticarsi su dispositivi privi di browser o con capacità di input limitate. Il dispositivo mostra un codice breve che l’utente inserisce su un dispositivo separato (telefono o computer) per autorizzare la sessione.

Abilitare il Device Flow

URI di Verifica

Dopo aver abilitato il Device Flow, Auris fornisce un URI di Verifica per la tua applicazione. Questo è l’URL che mostri agli utenti insieme al codice del dispositivo:

https://auth.tuo-dominio.com/hosted/device

La tua applicazione per dispositivi dovrebbe mostrare sia l’URI di verifica che il codice utente, per esempio:

Per accedere, visita: https://auth.tuo-dominio.com/hosted/device
Inserisci il codice: ABCD-EFGH

Come Funziona

1. Il dispositivo richiede un device code da POST /api/oauth/device/authorize
2. L’utente visita l’URI di verifica e inserisce il codice
3. L’utente si autentica normalmente (password, MFA, SSO — qualunque cosa richieda il tuo tenant)
4. Il dispositivo interroga POST /api/auth/token con grant_type=urn:ietf:params:oauth:grant-type:device_code fino a quando l’utente completa l’autenticazione
5. Una volta autorizzato, il dispositivo riceve access e refresh token

Client-Initiated Backchannel Authentication (CIBA)

CIBA abilita l’autenticazione server-to-server in cui la relying party avvia l’autenticazione senza che l’utente sia presente nell’applicazione. L’utente riceve una notifica (SMS o email) e approva il login sul proprio dispositivo.

I casi d’uso tipici includono l’autenticazione nei call center (“abbiamo inviato una notifica al tuo telefono — approvala per verificare la tua identità”) e la ri-autenticazione in background per sessioni di lunga durata.

Abilitare CIBA

Modalità di Notifica

DPoP (Demonstration of Proof-of-Possession) — RFC 9449

DPoP lega gli access token a un client specifico richiedendo al client di dimostrare il possesso di una chiave privata ad ogni richiesta. Questo previene il furto di token e gli attacchi di replay — anche se un access token viene intercettato, non può essere usato senza la chiave privata corrispondente.

Abilitare DPoP

Come Funziona DPoP

1. Il client genera una coppia di chiavi asimmetriche (tipicamente ECDSA P-256)
2. Ad ogni richiesta di token, il client crea un proof JWT DPoP firmato con la sua chiave privata, contenente il metodo HTTP, l’URL e un identificatore unico
3. Auris verifica la prova e lega il token emesso alla chiave pubblica del client (JWK thumbprint)
4. Nelle successive chiamate API, il client include sia l’access token che un nuovo header di prova DPoP
5. I resource server verificano che la claim jkt (JWK Thumbprint) del token corrisponda alla prova DPoP

Token Exchange (RFC 8693)

Il Token Exchange consente a un servizio di scambiare un access token per un nuovo token con scope, soggetto o audience diversi. Supporta due pattern: impersonation (agire come un altro utente) e delegation (agire per conto di un altro utente mantenendo l’identità originale).

Abilitare il Token Exchange

Monitoraggio

La Console fornisce pagine di monitoraggio dedicate per ciascuna funzionalità OAuth2 avanzata. Accedici dalla sezione OAuth Avanzato nella barra laterale.

Codici Dispositivo

Vai su Console → OAuth Avanzato → Codici Dispositivo per visualizzare tutte le sessioni di autorizzazione dispositivo attive e scadute.

Richieste CIBA

Vai su Console → OAuth Avanzato → Richieste CIBA per visualizzare le richieste di autenticazione backchannel.

Token Exchange

Vai su Console → OAuth Avanzato → Token Exchange per visualizzare il log di audit di tutte le operazioni di token exchange.

Risk Scoring

Le funzionalità OAuth2 avanzate si integrano con il motore di risk scoring di Auris. Quando il risk scoring è abilitato, ogni autenticazione tramite Device Flow, CIBA o Token Exchange viene valutata per il rischio proprio come un login standard. Le autenticazioni ad alto rischio possono attivare requisiti MFA step-up.

Per la configurazione dettagliata del motore di rischio, dei pesi dei fattori, delle soglie e delle regole personalizzate, vedi la pagina dedicata Risk Scoring & MFA Adattivo.

Permessi

I seguenti permessi controllano l’accesso alle funzionalità OAuth2 avanzate:

Guide Correlate

• Risk Scoring & MFA Adattivo — Configura il motore di rischio che protegge tutti i flussi OAuth2
• Device Authorization Flow — Guida per sviluppatori per implementare il Device Flow
• Integrazione CIBA — Guida per sviluppatori per l’autenticazione backchannel
• DPoP per la Sicurezza dei Token — Come implementare DPoP nella tua applicazione client
• Token Exchange — Guida per sviluppatori per impersonation e delegation
• Applicazioni — Gestione delle impostazioni delle applicazioni nella Console