Skip to main content

Mecanisme de autentificare: Security Token Service(STS) si Web Service Federation( WSF)

In momentul de fata aproape pe fiecare portal găsim mecanisme prin care putem să ne logam cu contul de Facebook, Y!, Google sau să facem anumite operațiuni folosind aceste conturi.
Toate aceste funcționalități sunt oferite prin mecanisme gen Security Token Service(STS).
STS a fost introdus de către Microsoft in 2005, in acest moment este folosit peste tot, inclusiv in aplicațiile din cloud( Windows Azure).
Pe baza unui singur cont pe un anumit domeniu putem să accesam și să folosim n domenii pe baza unui singur cont. Pattern-ul de baza se numeste Brokered Authentication.
Exista 3 jucători principali:
  • clientul - care dorește sa acceseze un anumit domeniu;
  • STS - serviciul care validează credențialele;
  • Serviciul( domeniul) - pe care un client vrea să îl acceseze;
Principiul de baza care sta la baza STS este următorul:
  • clientul trimite o cerere de autentificare la STS( un mesaj cunoscut sub numele de Request Security Token( RST));
  • STS verifica credentialele și trimite un mesaj de confirmare care conține și un token prin care se certifica ca clientul s-a autentificat cu succes prin STS( mesajul care este trimis de catre STS poarta numele de Request Security Token Response( RSTS));
  • clientul folosește token-ul pentru a accesa serviciul pe care vrea să îl consume;
  • serviciul verifica dacă token-ul este valid;
Daca in RST de obicei gasim numele utilizatorului, un id sau un user-token-id si o parola, RSTS care este trimis inapoi la client este mult mai standardizat. Raspunsul este de obicei sub forma SAML( un format XML securizat, folosit in special pentru autentificarea intre diferite domenii).
Acesta este mecanismul de baza, pe baza caruia se deriva mai multe mecanisme de autentificare.

Un mecanism care s-a obtinut din STS este Web Service Federation( WSF).
Pe scurt, clientul trebuie sa acceseze un serviciu care se afla in afara domeniului sau. In general fiecare organizatie are mecanismul sau de autentificare. Din acesta cauza, clientul trebuie sa se autentifice in domeniul unde opereaza, dar totodata trebuie sa fie autorizat sa acceseze domeniul unde serviciul este hostat.
Prin acest mecanism se pot face urmatoarele lucruri:
  • identificare utilizator;
  • autentificare;
  • autorizare;
  • audit;
Nu vreau sa ma pierd in detalii, mecanismul care sta in spate este destul de simplu:
  • clientul cere la STS din domeniul sau un token pentru a accesa un serviciu din alt domeniu;
  • acest token este trimis( de catre client) apoi la STS din domeniul unde serviciul care se doreste sa fie accesata este hostat;
  • STS din acest domeniu, pe baza token-ului trimis de catre client, valideaza clientul si trimite ca raspuns un token pe care clientul il poate folosi pentru a accesa servciul din domeniul respectiv;
Acest mecanism este folosit de catre AppFabric ACS( Access Control Service) din Windows Azure pentru a permite autentificarea pe baza de servicii REST. O sa urmeze un alt post pe acesta tema in viitorul apropiat.


Popular posts from this blog

ADO.NET provider with invariant name 'System.Data.SqlClient' could not be loaded

Today blog post will be started with the following error when running DB tests on the CI machine:
threw exception: System.InvalidOperationException: The Entity Framework provider type 'System.Data.Entity.SqlServer.SqlProviderServices, EntityFramework.SqlServer' registered in the application config file for the ADO.NET provider with invariant name 'System.Data.SqlClient' could not be loaded. Make sure that the assembly-qualified name is used and that the assembly is available to the running application. See for more information. at System.Data.Entity.Infrastructure.DependencyResolution.ProviderServicesFactory.GetInstance(String providerTypeName, String providerInvariantName) This error happened only on the Continuous Integration machine. On the devs machines, everything has fine. The classic problem – on my machine it’s working. The CI has the following configuration:

TeamCity.NET 4.51EF 6.0.2VS2013
It seems that there …

How to check in AngularJS if a service was register or not

There are cases when you need to check in a service or a controller was register in AngularJS.
For example a valid use case is when you have the same implementation running on multiple application. In this case, you may want to intercept the HTTP provider and add a custom step there. This step don’t needs to run on all the application, only in the one where the service exist and register.
A solution for this case would be to have a flag in the configuration that specify this. In the core you would have an IF that would check the value of this flag.
Another solution is to check if a specific service was register in AngularJS or not. If the service was register that you would execute your own logic.
To check if a service was register or not in AngularJS container you need to call the ‘has’ method of ‘inhector’. It will return TRUE if the service was register.
if ($injector.has('httpInterceptorService')) { $httpProvider.interceptors.push('httpInterceptorService&#…

Fundamental Books of a Software Engineer (version 2018)

More then six years ago I wrote a blog post about fundamental books that any software engineer (developer) should read. Now it is an excellent time to update this list with new entries.

There are 5 different categories of books, that represent the recommended path. For example, you start with Coding books, after that, you read books about Programming, Design and so on.
There are some books about C++ that I recommend not because you shall know C++, only because the concepts that you can learn from it.


Writing solid codeCode completeProgramming Pearls, more programming pearls(recommended)[NEW] Introduction to Algorithms


Refactoring (M. Fowler)Pragmatic ProgrammerClean code[NEW] Software Engineering: A Practitioner's Approach[NEW] The Mythical Man-Month[NEW] The Art of Computer Programming


Applying UML and Patterns (GRASP patterns)C++ coding standards (Sutter, Alexandrescu)The C++ programming language (Stroustrup, Part IV)Object-oriented programming (Peter Coad)P…