Речь пойдет о Symfony2-CertAuthBundle — бандле для популярного фрейморка Symfony2, который позволяет легко внедрить двухфакторную аутентификацию на основе x509 сертификатов клиентов.

Иногда стандартной аутентификации в виде формы логина недостаточно чтобы надежно защитить проект.

Кто-то может подсмотреть, проснифить, любым другим способом выудить логин пароль, ну или просто взломать сайт и получить доступ ко всем учеткам.

Для тех, кто считает, что его проекту нужен более надежный метод защиты добро пожаловать под кат.

Установка подробно описана на гитхабе, ниже хочу рассказать о том как это работает и какие основные возможности бандла.

Как работает аутентификация Symfony2 вообще?

Компонент Security в симфони по-началу кажется очень сложным и запутаным. Но на самом деле, все очень просто и логично.

Security состоит из четырех основных элементов: FirewallListeners, AuthenticationProviders, UserProviders и AuthenticationManager.



FirewallListeners внедряются классом Firewall. Они по цепочке обрабатывают запрос на этапе kernel.request. Основная их задача — создание неаутентифицированного токена, который будет аутентифицирован последующим AuthenticatedProvider'ом. Так же они отвечают за сериализацию и десериализацию токена в сесии (ContextListener), за редирект пользователя на https (ChannelListener), за ACL (AccessListener).

Для каждого фаервола, симфони создает свой набор инстансов листенеров. Делается это в SecurityExtension.
Во власти листенера любые манипуляции с сессией и токеном — разлогин пользователя, добавление динамических ролей, изменение токена и т.д. и т.п.

Посредством AuthenticationManager, листенеры взаимодействуют с AuthenticationProvider'ами. Основная задача провайдеров, посредством UserProvider загрузить пользователя и вернуть аутентифицированый токен — токен хотя бы с одной ролью.

AuthenticationManager реализует нестрогое соответствие между листенерами и провайдерами посредством supports() метода, что позволяет писать универсальные листенеры и провайдеры.

Все эти компоненты склеиваются воедино в SecurityExtension.

Как работает бандл?

Бандл добавляет еще один шаг аутентификации в виде генерации и скачивании сертификата пользователя.

Пользователю предлагается ввести секретное слово. Оно необходимо для шифрования сертификата перед передачей клиенту и сохранением на сервере.

Так же секретное слово используется при восстановлении сертификата, если пользователь его потерял, пришел за другой ноутбук или просто переустановил систему. Данный функционал возможно отключить и добавить свою логику по ручному восстановлению сертификата (последний звонок, смс, последняя операция на сайте и т.д.)

После скачивания и установки сертификата в браузер, пользователь получает полный доступ. Бандл создает CertifiedUserToken, который наследуется от стандартного UserNamePasswordToken, а так же добавляет динамическую роль ROLE_CERT_AUTHENTICATED_FULLY, которая используется в вышеупомянутом AccessListener для проверки доступа.

Основная проверка клиентского сертификата ложится на backend сервер (nginx, apache), которые передают в symfony результат проверки и сам сертификат. Названия переменных настраиваются в конфиг. файле. Бандл лишь проверяет результат этой проверки. Проверка производится используя Symfony Expression Language и по-умолчанию имеет вид:

cert["subject"]["CN"] == token.getUserName() && request.server.get("CLIENT_CERT_OK") === "SUCCESS"

В контексте выражения: cert (массив в формате openssl_x509_parse), объект request и текущий token.

Так как сервер автоматически проверяет validFrom и validTo сертификата, неактивные учетные записи со временем не становятся потенциальной брешью безопасности.

Система хранения (сервис zim_cert_auth.certificate_storage) использует три основных компонента: Formatter, Filters, Persister.
Formatter отвечает за преобразование x509 ресурса в формат хранения. На данный момент реализован только PKCS12 форматер.
Filter позволяет применить любые преобразования перед сохранением или извлечением.
Persister отвечает за физическое хранение сертификатов. На данный момент реализованы localfs и orm персистеры. Их предназначение понятно из названия. В планах добавить remotessh персистер который позволит хранить сертификаты на любом другом хосте используя scp.

Вы можете реализовать свои сервисы форматеров, персистеров, фильтров и определить их в config.yml

Управление сертификатами

Бандл добавляет несколько cli комманд для возвожности управления сертификатами. На данный момент существуют две команды:
zim:cert:dump и zim:cert:remove.

Так как бандл совсем молодой, в нем может не хватать функционала, который необходим в реальных проектах, поэтому любые пожелания по функционалу, общей работе бандла, пишите в коментариях или на гитхабе, будем реализовавывать все необходимые фичи.

Всем спасибо.