Bonnes ID ~ Clément Oudot - . . . . . . _ _ _

Sortie de LemonLDAP::NG 1.1.2

KPTN — Fri, 07 Oct 2011 16:57:00 +0200

Sortie d'une nouvelle version de LemonLDAP::NG en ce début d'automne, corrigeant quelques problèmes de la version 1.1.1, et apportant une amélioration du module fournisseur CAS.

Un problème ? Quel problème ? Mais y'a pas de problème

Parmi les petits soucis corrigés, on notera:

Meilleure gestion des dépendances Debian (Lasso et javascript-common)
Importation des fonctions étendues dans le Handler si la cage Safe est désactivée
Amélioration de la gestion des erreurs du Handler SecureToken
Modification du comportement de la fonction d'autorisation du portail : si l'application à afficher n'est pas connue du portail, elle est ignorée. On peut forcer l'affichage d'une application dans le portail avec le paramètre Display qu'il suffit de mettre à On.

CAS / Lemon, un cocktail d'enfer

LemonLDAP::NG est fournisseur CAS depuis la version 1.0. Cela permet de remplacer facilement son serveur CAS par LemonLDAP::NG. Il manquait toutefois une petite fonctionnalité : la gestion des autorisations pour les services CAS.

Avant cette version, le fournisseur CAS de LemonLDAP::NG renvoyait des tickets CAS aux services sans contrôler que l'utilisateur était bien autorisé à accéder à ce service. L'autorisation devait se faire soit en interne à l'application, soit en positionnant un Handler LL::NG devant.

Désormais, le fournisseur CAS peut vérifier l'autorisation d'accès à l'émission du ticket. Deux solutions alors si l'utilisateur n'est pas autorisé:

L'utilisateur reste sur le portail avec un message d'erreur adéquat
L'utilisateur repart sur le service avec un faux ticket, et l'erreur est alors gérée au niveau de l'application

À ma connaissance, cela fait de LemonLDAP::NG le seul serveur CAS sachant gérer les autorisations d'accès aux services !

On s'est pas déjà vu quelque part ?

C'est possible. Mais si vous voulez être certain de me croiser, ne ratez pas les prochaines occasions :

Sortie de LemonLDAP::NG 1.1.1

KPTN — Fri, 29 Jul 2011 16:16:00 +0200

En cette fin de juillet ensoleillée est sortie une nouvelle version mineure de LemonLDAP::NG, la 1.1.1

Cette version corrige les problèmes suivants :

Les fonctions SOAP n'étaient plus disponibles lorsque les notifications étaient activées
Les notifications devaient être acceptées deux fois par les utilisateurs déjà authentifiés
Le séparateur dans les nom de fichier des notifications n'était pas configurable
La recherche des groupes LDAP ne fonctionnait pas si le DN de l'utilisateur contenait des caractères spéciaux (comme l'anitslash)

La nouvelle version est téléchargeable ici : http://lemonldap-ng.org/download

Sortie de LemonLDAP::NG 1.1

KPTN — Thu, 21 Jul 2011 10:31:00 +0200

Ceci est la reprise de l'article rédigé pour LinuxFR, disponible ici : http://linuxfr.org/news/sortie-de-lemonldapng-11

Le 8 juillet dernier, à la veille de l'ouverture des RMLL, est sortie une nouvelle version majeure de LemonLDAP::NG.

LemonLDAP::NG est un logiciel de Web-SSO destiné à protéger des applications Web. Pour les utilisateurs, cela permet de ne s'authentifier qu'une seule fois (Single Sign-On) et pour les administrateurs du WebSSO cela permet de contrôler de manière centralisée les droits d'accès aux applications. LemonLDAP::NG supporte désormais de nombreux protocoles d'authentification et de fédération d'identités comme CAS, OpenID ou SAML 2.0.

La version 1.1 apporte un certain nombre de nouveautés présentées ci-dessous.

Gestion des notifications

Une notification est un message affiché à l'utilisateur lors de son accès au portail d'authentification (accès obligatoire pour la création de sa session SSO). Une notification peut contenir des cases à cocher, qui devront alors être activées par l'utilisateur pour poursuivre.

Ce système permet par exemple d'avertir un utilisateur sur la modification de ses habilitations, ou sur l'ajout ou la suppression d'une application dans le portail.

Les notifications existent dans LemonLDAP::NG depuis la version 0.9.4, mais le paramétrage de cette fonctionnalité était complexe. Depuis la version 1.1, le Manager (interface d'administration de la solution) possède désormais un explorateur qui permet de créer et parcourir les notifications.

De plus, les notifications peuvent désormais :

S'adresser à tous les utilisateurs (auparavant, une notification était enregistrée pour un utilisateur précis)
Posséder une condition d'affichage (ce qui permet par exemple d'afficher une notification pour des utilisateurs provenant d'un certain réseau, ou possédant certains attributs)

Pour plus d'informations, vous pouvez consulter la documentation en ligne.

Réinitialisation du mot de passe par mail

Lorsqu'un utilisateur a perdu son mot de passe, LemonLDAP::NG propose une page où il peut réinitialiser son mot de passe par mail. Il n'est bien entendu pas question de lui transmettre son mot de passe actuel, mais bien de lui permettre d'en changer via un challenge par mail. Cette méthode est inefficace si le mot de passe du WebSSO est le même que le mot de passe de sa messagerie, mais dans les autres cas, elle permet d'alléger considérablement les appels au support.

La cinématique est la suivante :

L'utilisateur fait une demande de réinitialisation en entrant son identifiant (ou tout attribut permettant de l'identifier de manière unique, comme son mail)
Un mail est envoyée avec un lien, dont la validité est configurable (par défaut 24 heures)
Le lien mène à une page permettant de saisir un nouveau mot de passe, ou de demander sa génération automatique
Le nouveau mot de passe est envoyé par mail

Pour plus d'informations, vous pouvez consulter la documentation en ligne.

Authentification par Yubikey

La Yubikey est un périphérique physique permettant de faire de l'authentification avec mot de passe à usage unique (One Time Password, OTP).

LemonLDAP::NG permet désormais d'utiliser ce périphérique pour ouvrir une session SSO. Les attributs de l'utilisateur peuvent être ensuite récupéré en associant l'identifiant de la clé à l'identifiant de l'utilisateur dans la base des comptes (LDAP ou SQL).

Pour plus d'informations, vous pouvez consulter la documentation en ligne.

Personnalisation

La personnalisation du produit est facilitée dans la dernière version, en particulier :

Les messages d'erreurs peuvent être surchargés dans le fichier INI
Les thèmes possèdent désormais des modèles HTML "custom" inclus dans les modèles par défaut

Pour plus d'informations, vous pouvez consulter la documentation en ligne.

Sortie de LemonLDAP::NG 1.0.6 et autres actualités

KPTN — Wed, 01 Jun 2011 15:47:00 +0200

La version 1.0.6 de LemonLDAP::NG est sortie le 30 mai, apportant quelques corrections :

La recherche LDAP de l'utilisateur requête à présent explicitement la liste des attributs (et non la totalité des attributs)
La syntaxe de configuration de l'authentification multiple (backend Multi) est désormais acceptée dans le Manager
Les valeurs base64 sont correctement échappées dans le javascript du Manager pour être compatibles avec les sélecteurs jQuery

Cette version peut être téléchargée ici : http://lemonldap-ng.org/download

La prochaine version sera une version majeure, la 1.1.0, incluant quelques nouvelles fonctionnalités sympa :

Authentification par Yubikey
Authentification "esclave", c'est-à-dire liée à un produit de SSO frontal qui transmet les données dans les en-têtes HTTP (LemonLDAP::NG, SiteMinder, OpenAM, etc.)
Simplification de la personnalisation du thème graphique (pour les pages du portail et les mails HTML envoyés)
Amélioration de la fonctionnalité de réinitialisation du mot de passe par mail, avec renvoi possible du mail de confirmation, et saisie du nouveau mot de passe sur le portail, en plus de la possibilité de le générer
Gestion d'une notification globale, c'est-à-dire applicable à tous les utilisateurs (les notifications en 1.0 doivent être attribuées nominativement)

Cette nouvelle version devrait sortir fin juin/début juillet, on pourra en entendre alors parler lors de deux événements :

Sinon, vous pourrez trouver quelques informations sur LemonLDAP::NG dans le GNU/Linux Magazine de ce mois-ci (n°139 / juin 2011) dans le reportage sur ConFoo.

Sortie de LemonLDAP::NG 1.0.5

KPTN — Fri, 15 Apr 2011 17:58:00 +0200

Une nouvelle version de LemonLDAP::NG vient de sortir. Celle-ci apporte les changement suivants :

Correction d'un bug sur le menu des applications, qui masquait des applications autorisées à certains utilisateurs parce qu'elles étaient interdites à d'autres
Possibilité de définir une sous-routine dans lemonldap-ng.ini : cela permet de surcharger des méthodes à la volée, sans toucher au script index.pl
Gestion de l'authentification SMTP, pour la fonctionnalité de réinitialisation du mot de passe par mail

Cette version implique l'installation d'une nouvelle dépendance Perl: Clone. Si vous utilisez les paquets RPM ou DEB, cette dépendance sera installée automatiquement (il faudra toutefois un apt-get dist-upgrade au lieu d'un simple apt-get upgrade sous Debian).

Téléchargement: http://lemonldap-ng.org/download

Le SSO, cause principale de la maladie d'Alzheimer

KPTN — Fri, 01 Apr 2011 13:57:00 +0200

Une étude de l'institut NAZ (Neuroscience AlZheimer) vient de prouver le lien entre le déploiement du SSO en entreprise et la maladie d'Alzheimer, désormais classée dans les accidents du travail.

De la paresse mémorielle à la maladie

Le SSO, Single Sign On, est un système informatique permettant aux utilisateurs de n'avoir qu'un seul mot de passe pour accéder à toutes leurs applications. La généralisation de ce système change radicalement les habitudes des usagers, qui sollicitent de moins en moins leur mémoire dans leur travail quotidien.

Certains systèmes SSO peuvent même déclencher l'authentification de l'utilisateur à partir d'une carte à puce, ou de son empreinte digitale : plus aucun accès mémoire n'est requis !

Le cerveau doit être sans cesse sollicité pour fonctionner. Avec le SSO, le voici devenu presque inutile, avec les conséquences que l'on connaît maintenant.

Le téléphone portable, une première alerte ignorée

L'arrivée des téléphones portable avait déjà créé du remous dans la communauté médicale, accusant le répertoire téléphonique d'affaiblir les capacités cognitives de ses utilisateurs : aujourd'hui, personne ne connaît plus que 3 ou 4 numéros de téléphone, contre plusieurs dizaines auparavant.

La riposte est en cours

Pour palier à ce problème, plusieurs entreprises ont décidé d'abandonner le SSO. Elles exigent désormais au moins deux mots de passe pour se connecter aux applications, dont un doit être une date d'anniversaire, ou le prénom d'un proche. Elles espèrent ainsi faire reculer la maladie, au moins jusqu'à la retraite de leurs salariés.

À votre échelle, vous pouvez également agir : jetez tous les papiers que vous trouverez sur lesquels des mots de passe sont écrits. Vous contribuerez ainsi à l'amélioration de la santé mentale de vos collègues.

Mise à jour de sécurité sur LemonLDAP::NG (sortie de la version 1.0.4)

KPTN — Thu, 24 Mar 2011 10:08:00 +0100

Une nouvelle version de LemonLDAP::NG est sortie cette semaine, numérotée 1.0.4.

Cette version corrige entre autres un problème important, lié à la refactorisation du code de la cage d'exécution (Safe) : les macros et les groupes étaient conservés en mémoire, et pouvaient donc être copiés d'une session d'utilisateur à une autre. Conséquence : si les règles d'accès utilisent les macros ou les groupes, cela pouvait permettre l'accès à des personnes non autorisées aux applications.

Il est donc vivement conseillé de migrer vers la nouvelle version.

Page de téléchargement de LemonLDAP::NG.

Sortie de LemonLDAP::NG 1.0.3

KPTN — Tue, 15 Mar 2011 17:30:00 +0100

Une nouvelle version mineure de LemonLDAP::NG, la version 1.0.3, est sortie le 7 mars dernier, très rapidement après la 1.0.2.

Cette sortie se justifie par la correction d'un bug apparu dans la 1.0.2 et qui empêchait les applications en mode automatique (c'est à dire dont les droits d'accès sont calculés à la volée) d'apparaître dans le menu des applications. Ce bug a été introduit pour une modification de la gestion de la cage d'exécution (Safe.pm), il est à présent corrigé.

Page de téléchargement de LemonLDAP::NG.

Sortie de LemonLDAP::NG 1.0.2

KPTN — Tue, 01 Mar 2011 18:02:00 +0100

Une nouvelle version mineure de LemonLDAP::NG vient de sortir, corrigeant quelques problèmes sur la 1.0, publiée en fin d'année dernière.

La version 1.0.2 apporte les améliorations principales suivantes :

Correction sur la prise en compte des niveaux d'authentification LDAP et DBI
L'option portalOpenLinkInNewWindow n'est pas prise en compte
Réinitialisation du mot de passe avec AuthChoice
Meilleure gestion du cache de configuration dans le portail
Protection de l'explorateur de sessions semblable à celle du Manager
Masquage des catégories vides dans le menu des applications
Correctifs sur le packaging Debian
Nouvelle option useSafeJail pour désactiver l'utilisation de Safe.pm

Quelques liens :

LemonLDAP::NG se présente à Montréal le 10 mars prochain

KPTN — Mon, 28 Feb 2011 09:57:00 +0100

Pour la première fois, LemonLDAP::NG traverse l'atlantique et va se présenter lors de l'événement ConFoo à Montréal.

ConFoo propose 3 journées de conférences sur les technologies Web, avec des pointures du domaines. On retrouvera en particulier parmi nos compatriotes Damien Seguy (Alterway) et Fabien Potencier (Sensio Labs), deux des acteurs les plus influents de la communauté PHP en France. ConFoo donne aussi la parole à des intervenants du domaine de la sécurité, comme Allan Foster de ForgeRock qui viendra parler d'OpenAM, le fork d'OpenSSO suite au rachat de SUN par Oracle.

Pour ma part, j'aurai le plaisir de représenter LINAGORA, et de faire découvrir LemonLDAP::NG au public québecois, et parler un peu de Perl au milieu des conférences Java, Python et PHP ;)

Installer LemonLDAP::NG 1.0 sur Debian Lenny

KPTN — Thu, 10 Feb 2011 11:37:00 +0100

Même si Debian Squeeze vient de remplacer Lenny comme version stable ce mois-ci, il reste que cette dernière reste une version serveur encore très déployée, en attendant les migrations vers Squeeze.

La version 1.0 de LemonLDAP::NG a été empaquetée pour de nombreuses distributions, y compris Debian. Cependant, pour des questions de dépendances, les paquets Debian de LemonLDAP::NG sont compatibles avec Squeeze, et ne s'installent pas directement sous Lenny. Cela vous chagrine ? Moi aussi.

Heureusement, il y a toujours des solutions. Celle que je vous propose consiste à télécharger directement les dépendances problématiques depuis le site http://packages.debian.org et de les installer manuellement. Les paquets à télécharger depuis leur version Sid sont :

libjs-jquery
libjs-jquery-ui
libnet-ldap-perl

Par exemple :

wget http://ftp.de.debian.org/debian/pool/main/j/jquery/libjs-jquery_1.5-2_all.deb
dpkg -i libjs-jquery_1.5-2_all.deb 
wget http://ftp.de.debian.org/debian/pool/main/j/jqueryui/libjs-jquery-ui_1.8.dfsg-3_all.deb
dpkg -i libjs-jquery-ui_1.8.dfsg-3_all.deb 
wget http://ftp.de.debian.org/debian/pool/main/libn/libnet-ldap-perl/libnet-ldap-perl_0.4001-2_all.deb
dpkg -i libnet-ldap-perl_0.4001-2_all.deb

Voilà, ensuite il ne reste plus qu'à installer LemonLDAP::NG en suivant la procédure officielle.

Sortie de LemonLDAP::NG 1.0 !

KPTN — Wed, 01 Dec 2010 16:20:00 +0100

Non, vous ne rêvez pas

Le bruit courrait depuis quelque temps déjà, c'est aujourd'hui chose faite : La version 1.0 de LemonLDAP::NG est sortie !

Il ne faut évidemment pas se fier au numéro de version, LemonLDAP::NG est un logiciel qui a vu le jour il y a plusieurs années, au sein du Ministère des Finances et de la Gendarmerie Nationale. La version 1.0 marque la stabilisation d'un certain nombre de fonctionnalités et l'arrivée de modules très importants, comme les fournisseurs d'identité CAS, SAML et OpenID. Une attention toute particulière a été accordée à la gestion de la configuration, qui pouvait être l'un des reproches fait aux précédentes versions, afin que les futures évolutions de versions soient beaucoup plus simple.

L'heure des présentations

Mesdames, messieurs, j'ai le plaisir de vous présenter LemonLDAP::NG, un logiciel libre d'authentification unique (WebSSO) et de contrôle d'accès aux applications Web.

Écrit en Perl et intégré directement au cœur du serveur HTTP Apache (à travers mod_perl), il analyse chaque flux HTTP pour d'une part vérifier les habilitations de l'utilisateur, et d'autre part enrichir la requête d'en-têtes HTTP pour transmettre les informations de session à l'application protégée. La cinématique complète est décrite ici.

Une de ses grandes forces est la simplicité d'intégration des applications. En effet, il suffit de lire une en-tête HTTP ou une variable d'environnement pour utiliser le WebSSO. Et c'est sans compter les applications qui sont nativement compatibles (OBM, Bugzilla, Dokuwiki, Linshare, etc.)

C'est en forgeant des en-têtes qu'on devient forgeron

À ses débuts, LemonLDAP::NG ne savait interagir qu'avec un annuaire LDAP pour authentifier les utilisateurs (d'où son nom). Aujourd'hui, il a bien mûri et peut utiliser les protocoles suivants :

LDAP
SQL
SSL X509
Apache built-in modules (Kerberos, NTLM , OTP, …)
SAML 2.0 / Shibboleth
OpenID
Twitter
CAS

La grande nouveauté, c'est que LemonLDAP::NG est désormais fournisseur d'identités, c'est-à-dire qu'il peut transmettre l'identité d'un utilisateur à d'autres services en passant par des protocoles standards :

CAS (cf. article sur CAS)
SAML 2.0 / Shibboleth (cf. article sur SAML)
OpenID

Il SAML de quoi ?

C'est sur SAML que le travail a été le plus important, ce qui explique le laps de temps entre la précédente version (0.9.4.1 en octobre 2009) et celle-ci. Toutefois l'attente n'aura pas été vaine puisque LemonLDAP::NG est désormais :

Fournisseur de service (conforme SP Lite)
Fournisseur d'identités (conforme IDP Lite)
Autorité d'attributs
Fournisseur d'identités mandataire (Proxy IDP)

Cela a été rendu possible par l'utilisation de la librairie GPL Lasso (cf. article sur Lasso). L'interaction a été bénéfique aux deux logiciels puisque la dernière version de Lasso (2.3) a bénéficié de nombreux tests et rapports d'anomalies issus du développement de LemonLDAP::NG.

Il y en a un peu plus, je vous le mets quand même ?

L'enrichissement des modules d'authentification et de fournisseur d'identités est certes une avancée majeure pour LemonLDAP::NG, mais la nouvelle version apporte également d'autres améliorations notables :

Refonte de l'interface de configuration (Manager) et de l'explorateur de sessions, avec une utilisation intensive de jQuery et jQuery UI.
Nouveau thème (dark) pour le portail, ce qui porte à 3 le nombre de thèmes fournis par défaut.
Possibilité de configurer les paramètres de redirection (port et HTTPS) pour chaque hôte virtuel, et non plus de manière globale par serveur physique.
Configuration graphique du rejeu de formulaire, avec support des hôtes virtuels.
Handler Zimbra.
Choix d'authentification au niveau du portail.
Fusion des fichiers de configuration locaux dans un fichier unique au format INI.
Refonte du menu des applications pour une meilleure présentation des catégories et des applications.
Dépôts YUM et Debian.
Nouveau wiki.
...

L'ensemble des changements est visible sur le projet JIRA.

Merci, merci

LemonLDAP::NG est avant tout le fruit de la collaboration entre la Gendarmerie Nationale et la société LINAGORA.Cette nouvelle version a monopolisé ces deux acteurs sur l'année qui vient de s'écouler.

Le support du SAML a été réalisé avec la collaboration de la société Entr'ouvert (éditrice de Lasso).

Bien évidemment, tous les utilisateurs qui ont pu tester les versions candidates et qui ont fait des retours précieux ont grandement contribué à la sortie de la version 1.0.

Vous pouvez retrouver LemonLDAP::NG à travers l'offre LinID de LINAGORA, par le module LinID Access Manager.

J'espère au nom de toute l'équipe de LemonLDAP::NG que cette nouvelle version comblera vos attentes, et vous donnera l'envie de parler de ce projet autour de vous. En attendant, n'hésitez pas à nous rejoindre !

Quelques liens pour la root

Les captures d'écran de LemonLDAP::NG 1.0, en avant première !

KPTN — Sun, 28 Nov 2010 16:23:00 +0100

Cette semaine devrait sortir sur vos écrans retro-éclairés la nouvelle version de LemonLDAP::NG, et pas n'importe quelle version puisqu'il s'agira de la 1.0.

En effet, le logiciel a désormais acquis de la stabilité et s'est enrichi depuis la dernière version (0.9.4.1) de nombreuses fonctionnalités, en particulier le support de CAS, SAML et OpenID. J'aurai l'occasion de revenir en détail sur tous ces éléments lors de la sortie officielle.

En attendant, je vous laisse découvrir le nouveau site du projet ainsi que les captures d'écran de la 1.0 : http://lemonldap-ng.org/screenshots

LemonLDAP::NG CAS la baraque

KPTN — Tue, 07 Sep 2010 12:19:00 +0200

CAS que c'est ?

CAS (Central Authentication Service) est un système de SSO alternatif à LemonLDAP::NG, basé sur le principe de la délégation : chaque service fait appel au serveur central SSO pour obtenir l'identité de l'utilisateur. Le protocole CAS utilise des tickets transmis via des redirections HTTP, puis validés par l'application elle-même en interrogeant directement le serveur central (ce qui est appelé lien dorsal, ou backlink en anglais).

L'avantage de CAS est donc de cloisonner les services, c'est-à-dire qu'un ticket de service ne permettra pas d'accéder à un autre service. Reste que le cookie SSO principal (celui du portail d'authentification) permet lui d'obtenir tous les tickets pour tous les services.

CAS est un protocole, passé successivement aux versions 1.0 et 2.0. Par amalgame CAS désigne aussi souvent l'implémentation serveur de référence fournie par JASIG. Toutefois il est possible d'utiliser d'autres produits en tant que serveur CAS, comme c'est le cas désormais de LemonLDAP::NG.

Fidèle CAS trop

En effet, comme mentionné dans des billets précédents, les développements sur LemonLDAP::NG sont très actifs ces derniers temps. La plupart des efforts ont été concentrés sur l'implémentation de SAML 2.0, mais la nouvelle mouture de LemonLDAP::NG proposera également le support d'OpenID et de CAS (à la fois en tant que client -consumer- et serveur -provider-).

CAS a mia

Intéressons-nous tout d'abord à la partie cliente. Elle existe depuis quelques années dans LemonLDAP::NG, permettant de "CASsifier" le portail d'authentification. Concrètement, cela permet d'utiliser un serveur CAS externe comme authentification primaire sur LemonLDAP::NG.

La nouvelle version de ce module apporte une nouveauté : le mode mandataire (proxy).

Ce mode permet de déclarer des applications protégées par LemonLDAP::NG comme mandatées. Dans ce cas des tickets proxy CAS sont obtenus pour chacune des applications et ensuite disponibles dans la session de l'utilisateur. Ils peuvent donc être ensuite transmis à l'application qui pourra les valider directement avec le serveur CAS. Cela est très utile par exemple pour protéger un webmail CASsifié, qui utilise en sous-main pam_cas pour valider l'identité de l'utilisateur.

Mare à CAS

La partie serveur elle est toute neuve. Basé sur l'interface de fournisseur d'identité créée pour l'intégration SAML, le fournisseur CAS implémente tout le protocole CAS 1.0 et CAS 2.0.

LemonLDAP::NG devient donc le premier serveur CAS écrit en Perl !

Vodka Lemon ou Gin CAS ?

Désormais, CAS n'est plus une alternative à LemonLDAP::NG, mais l'un de ces protocoles d'authentification. Il est donc possible de passer à LemonLDAP::NG en conservant les applications CASsifiées. Avantage supplémentaire : en protégeant l'application CASsifiées, l'authentification est laissée en protocole CAS, mais LemonLDAP::NG peut désormais gérer les autorisations d'accès à l'application, et cela toujours de manière non-intrusive.

Toutefois, l'implémentation de référence de CAS poursuit sa route, et implémente certaines fonctionnalités qui n'apparaissent pas dans la description du protocole. C'est le cas de certains services web utilisés pour obtenir des informations sur l'utilisateur, ou la gestion de la déconnexion des applications.

Et bien entendu, reste le choix technologique de Java par rapport à Perl, matière à beaucoup de discussions qui ne font pas l'objet de cet article !

CAS qu'on attend ?

Ces nouvelles fonctionnalités peuvent être testées en utilisant la version de développement. Une archive est construite toutes les nuits et disponible ici.

Il faudra attendre encore un peu avant la sortie de la version 1.0, qui contiendra des nombreuses autres fonctionnalités, dont certaines feront peut-être l'objet de nouveaux articles sur ce blog.

N'hésitez pas à contacter la communauté (sur la liste lemonldap-ng-user AT ow2.org ou sur IRC #lemonldap-ng@freenode) pour obtenir de nouvelles informations !

LemonLDAP::NG sur un nuage

KPTN — Fri, 18 Jun 2010 17:21:00 +0200

Pas de fumée sans feu

Depuis quelques mois, les développements sur LemonLDAP::NG sont consacrés à l'implémentation du standard SAML2. Une première version candidate (1.0rc1) est sortie au mois d'avril, permettant de tester LemonLDAP::NG en tant que fournisseur de service SAML2 (SP).

Aujourd'hui, la fonctionnalité de fournisseur d'identités SAML2 est pratiquement implémentée à 100%, et les premiers tests grandeur nature commencent.

L'implémentation SAML de LemonLDAP::NG repose sur Lasso.

Le village dans les nuages

L'un de ces tests a porté sur Google Apps : la suite d'applications Google a destination des entreprises. Ce sont donc les premiers pas de LemonLDAP::NG dans le fameux cloud dont tout le monde parle .

Stairway to heaven

Je livre ici la recette pour faire fonctionner Google Apps avec LemonLDAP::NG (version de développement au 18/06/2010). Cela demande quelques manipulations qui seront certainement facilitées dans la version stable qui sortira cette année.

On suppose qu'on a investi chez Google Apps pour acheter des comptes pour le domaine entreprise.com. D'un autre côté, on a installé dans son réseau LemonLDAP::NG, dans le domaine mon-entreprise.net. Ce domaine peut-être accessible d'internet, ou réservé aux utilisateurs internes seulement (on préférera généralement le rendre accessible d'internet, pour accéder à Google Apps depuis l'extérieur de l'entreprise).

Du côté de LemonLDAP::NG

Après une installation standard du produit, il faut activer plusieurs paramètres depuis le Manager (http://manager.mon-entreprise.net) :

Portail : auth.mon-entreprise.net
Domaine : mon-entreprise.net
Authentification/Utilisateurs : LDAP (ou SSL, DB, Apache, ...)
Fournisseur : SAML

Toujours dans le Manager, configurer le service SAML, en particulier les clés de signature et de chiffrement, ainsi que tous les points d'accès SAML. Par exemple pour le point d'accès SSO HTTP-REDIRECT : http://auth.mon-entreprise.net/saml/singleSignOn. Un peu d'aide sur cette partie peut se trouver ici : http://wiki.lemonldap.ow2.org/xwiki/bin/view/NG/AuthSAML.

Reste à insérer les metadonnées de Google Apps en tant que fournisseur de service SAML dans le Manager. Google Apps ne fournit pas de metadonnées, il faut donc les générer soit-même. Pour cela, copier le fichier ci-dessous, en modifiant entreprise.com avec votre domaine Google Apps (paragraphe AssertionConsumerService) :

<EntityDescriptor entityID="google.com" xmlns="urn:oasis:names:tc:SAML:2.0:metadata" xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
        <SPSSODescriptor protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
                <KeyDescriptor>
                        <ds:KeyInfo>
                                <ds:KeyValue>
MFwwDQYJKoZIhvcNAQEBBQADSwAwSAJBANZ2b5wb43eJRYnln2bfo+neq6ZQYksm
Ftn3juDB/UklfwVN0XPi8NBHXFQjfXPeVse6Ztjl+C443jRCkSawVZMCAwEAAQ==
                                </ds:KeyValue>
                        </ds:KeyInfo>
                </KeyDescriptor>
                <NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress</NameIDFormat>
                <AssertionConsumerService index="1" Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST"
                        Location="https://www.google.com/a/entreprise.com/acs" />
        </SPSSODescriptor>
</EntityDescriptor>

La valeur de la clé publique est factice, mais nécessaire pour que les metadonnées soient reconnues par Lasso (ce ne sera peut-être plus le cas dans la version stable).

Depuis le Manager, insérer ces metadonnées dans un nouveau fournisseur de service, et configurer les options suivantes :

Format de NameID par défaut : email
Vérifier la signature des requêtes SSO : non

Du côté de Google Apps

Depuis l'interface d'administration de votre domaine, aller dans Outils avancés > Configurer l'authentification unique (SSO)

Il suffit de faire pointer Google Apps vers les points d'accès définis dans LemonLDAP::NG :

Page de connexion : URL où est transmise la requête d'authentification SAML
Page de déconnexion : URL où est redirigé l'utilisateur lors de sa déconnexion depuis Google Apps (ce n'est pas du SLO SAML)
Page de changement de mot de passe : URL où l'utilisateur peut changer son mot de passe (ce sera le menu LemonLDAP::NG)

Il faut également charger un certificat qui contient la clé publique de notre fournisseur d'identité. On peut générer ce certificat à partir de la clé privée de signature disponible dans le Manager :

$ openssl req -new -key lemonldap-ng-key.pem -out cert.csr
$ openssl x509 -req -days 3650 -in cert.csr -signkey lemonldap-ng-key.pem -out cert.pem

C'est alors le fichier cert.pem qu'il faut charger dans Google Apps.

On enfonce le cloud

À présent tout est prêt, les utilisateurs peuvent accéder à un service Google Apps de l'entreprise, comme le calendrier : http://www.google.com/calendar/hosted/entreprise.com

Il sont alors redirigés avec un requête d'authentification SAML vers LemonLDAP::NG. Ils peuvent s'authentifier avec les ressources de l'entreprise (Annuaire LDAP, Active Directory, PKI, etc.) et reviennent alors sur Google Apps avec un jeton SAML qui est validé chez Google (en particulier la signature est contrôler à l'aide du certificat chargé précédemment).

L'utilisateur est alors authentifié sur Google Apps !

Des ombres au tableau

Google Apps supporte SAML et c'est une très belle opportunité pour le déploiement de ce standard.

Toutefois, on regrette certaines choses :

Les requêtes d'authentification de Google Apps ne sont pas signées, impossible de s'assurer que l'utilisateur n'est pas victime d'hameçonnage
Il n'y a pas de support du Single Logout (SLO) : on peut se déconnecter de Google Apps et être dirigé vers la page de déconnexion du fournisseur d'identité, mais pas l'inverse : si l'utilisateur ferme sa session SAML depuis un autre fournisseur d'identité, alors se session Google Apps ne sera pas fermée.

Lucy in the sky with diamonds

J'espère que cet article vous aura donné envie de tester la nouvelle version de LemonLDAP::NG. On se donne rendez-vous aux RMLL pour une démonstration IRL !

À l'assaut de Lasso

KPTN — Tue, 02 Feb 2010 21:42:00 +0100

Ça y est, le développement du support SAML2 dans LemonLDAP::NG a commencé, comme peuvent en témoigner les récents mouvement sur le SVN du projet.

Nous utilisons pour cela la bibliothèque Lasso, GPL, éditée par Entr'ouvert. Le binding Perl a été réécrit avec PerlXS, en remplacement de SWIG utilisé jusqu'alors.

Ce n'est que le début de l'aventure, mais ce développement promet d'être intense et captivant. Un première version stable du code devrait sortir à la fin du premier semestre 2010.

Des nouvelles du développement de LemonLDAP::NG

KPTN — Thu, 17 Dec 2009 14:16:00 +0100

Cela fait quelques temps que la dernière version stable est sortie (v0.9.4 en juillet 2009), avec une mise à jour mineure (v0.9.4.1 en octobre 2009).

Le projet est toutefois très actif, avec en prévision la sortie d'une nouvelle version stable en 2010, probablement en début de second semestre. En particulier, les chantiers importants suivants sont actuellement menés :

Refonte du Manager avec intégration de l'ensemble des paramètres de configuration
Support SAML2 en tant que fournisseur d'identités et fournisseur de service
Support OpenID
Support DBI (bases de données via un connecteur DBI, comme MySQL, PostGreSQL, Oracle, ...)

Ci-dessous une vue du travail sur le nouveau Manager :

Les développements sont publiés régulièrement sur le dépôt du projet, permettant à chacun de venir tester les dernières fonctionnalités en avant-première.

LemonLDAP::NG en version 0.9.4.1

KPTN — Fri, 16 Oct 2009 10:23:00 +0200

Il y a quelques jours, une nouvelle version mineure de LemonLDAP::NG est sortie, il s'agit de la version 0.9.4.1.

LemonLDAP::NG est une solution libre de WebSSO et de gestion des accès, couplée à Apache, et permettant de protéger des applications soit par mandataire inverse (reverse-proxy), soit par délégation (installation d'un agent au niveau de l'application).

Les principaux changements de la version 0.9.4.1 sont :

Mise à jour de la cage de sécurité (Safe jail)
Corrections de bogues mineurs sur Handler/CGI.pm
Possibilité d'utiliser l'explorateur de sessions avec les sessions stockées dans le LDAP
Prise en compte de la facilité syslog dans Common/CGI.pm
Correction d'un bogue dans le module _Multi.pm
Mise à jour de la documentation
Traduction debconf
Pas de remplacement des fichiers de conf lors de la mise à jour par RPM (%config(noreplace))

Pour plus d'informations :

Sortie de LemonLDAP::NG 0.9.4

KPTN — Wed, 22 Jul 2009 14:18:00 +0200

Début juillet est sortie la dernière version de LemonLDAP::NG, un logiciel libre de WebSSO et gestion des accès. Les nouveautés de la version 0.9.4 ont été présentées lors des 10èmes RMLL à Nantes, lors de la journée consacrée à la gestion des identités. Pour ceux qui n'ont pas eu le privilège d'assister à cette conférence, cet article rappelle les principes de fonctionnement du produit et liste les nouvelles fonctionnalités. Les plus intéressés trouveront également dans le Linux Mag de cet été une bonne introduction au logiciel.

LemonLDAP::NG fournit des mécanismes d'authentification unique à l'intérieur d'Apache en utilisant les capacités de mod_perl à traiter les requêtes HTTP depuis leur arrivée, leur traitement jusqu'au renvoi de la réponse au client. La gestion de la session repose sur un cookie échangé entre les clients et les agents LemonLDAP::NG (Handlers) ne contenant qu'une clé permettant d'accéder aux données de session qui sont partagées entre les agents.

Ces données de sessions sont collectées lors de la phase d'authentification et permettent d'établir des règles d'accès complexes, avec notamment la possibilité de recourir aux expressions régulières, ou d'appeler des fonctions qui contrôlent par exemple les jours et horaires d'accès.

Le portail d'authentification présente à l'utilisateur connecté la liste des applications qui lui sont autorisées ainsi qu'un formulaire de changement de mot de passe.

Pour les administrateurs, une interface graphique permet de modifier les principaux paramètres de configuration ainsi que de naviguer dans les sessions ouvertes par les utilisateurs.

La version 0.9.4 apporte les nouveautés suivantes :

Utilisation de LDAP pour la configuration et les sessions : il était déjà possible d'utiliser un annuaire LDAP pour l'authentification, l'obtention des informations de session et pour le changement de mot de passe. À présent la configuration et les sessions peuvent être stockées dans l'annuaire, ce qui simplifie la configuration en mode réparti ou en cluster. Cela ne nécessite pas d'extension de schéma.
Accès SOAP : les fonctions SOAP ont été entièrement réécrites, avec pour conséquence la perte de compatibilité avec les configurations SOAP des versions précédentes. Toutefois l'objectif étant la simplification de l'architecture, c'est le portail qui devient un point d'accès SOAP, rendant obsolète l'écriture de scripts CGI dédiés. La protection du point d'accès SOAP est gérée directement dans l'hôte virtuel du portail au niveau de la configuration Apache.
Notifications : des notifications peuvent être envoyées aux utilisateurs qui devront les valider pour poursuivre leur accès au portail. Cela permet en particulier d'avertir un utilisateur de l'ouverture d'un accès à une application.
Fonctions dans les règles d'accès : des nouvelles fonctions permettent de configurer des accès sur une période (date de début, date de fin) ou sur des jours et horaires (par exemple du lundi au vendredi de 8h à 19h).
Adresse du portail dynamique : cela permet de présenter un portail différent selon l'application protégée d'origine ou la provenance des utilisateurs. Il est alors possible d'héberger plusieurs WebSSO avec une seule instance d'Apache.
Séparation claire des modules d'authentification, de données utilisateur et de mots de passe : il est possible alors de choisr par exemple Kerberos pour l'authentification et LDAP pour la lecture des informations utilisateur. Le module Multi permet de chaîner plusieurs méthodes.
Politique des mots de passe LDAP : le WebSSO gère à présent l'ensemble de la politique des mots de passe implémentée dans la plupart des annuaires LDAP. En particulier, le portail saura exiger le renouvellement du mot de passe lorsque celui aura été réinitialisé par un administrateur. Lors du changement de mot de passe, des messages d'erreurs explicites sont retournés aux utilisateurs (mot de passe trop court, historique, etc.).
Configuration du cross-domain : l'activation du cross-domain est simplifiée par l'ajout d'un paramètre dans le portail et dans l'agent. Le cross-domain permet d'ouvrir une session SSO sur plusieurs domaines DNS différents.
Validation de formulaires : cette fonctionnalité est juste apparue dans cette version et doit être utilisée avec précaution. Elle permet de poster des données sur des applications protégées, ce qui étend la compatibilité de LemonLDAP::NG avec n'importe quelle application Web.
Double cookie : si activée, cette fonction créée deux cookies, un pour HTTP et l'autre pour HTTPS. Ainsi un cookie dérobé en HTTP ne pourra pas servir à entrer sur des applications HTTPS.

Liens :

Petite mise à jour de la valve Tomcat pour LemonLDAP::NG

KPTN — Tue, 07 Jul 2009 14:46:00 +0200

En attendant un article plus complet sur la sortie officielle de la version 0.9.4 de LemonLDAP::NG, voici quelques nouvelles de la valve Tomcat.

Un version 2.1 a été publiée il y a quelques jours apportant un nouveau paramètre : passTrough. Ce paramètre permet de refuser toute connexion ne possédant pas les en-têtes attendues.

Par défaut toutes les connexions arrivent jusqu'à l'application. Avec le paramètre passTrough à "false", les en-têtes sont requises. Le paramètre allows permet toujours de filtrer les connexions autorisées par adresse IP.

Plus d'informations sur la page dédiée du wiki LemonLDAP::NG.

Merci à Thomas Chemineau pour la contribution, et Pascal Pejac pour la création de la valve.