azure - ACS 中的 MyOpenID : adding required claim types

Question

这个问题是How to pass required claims to OpenID identity provider with Azure ACS?的延续

不过，它对这个问题的看法略有不同，因此我将其作为一个新问题发布。注意:我还将其交叉发布到 the Azure Security forum但到目前为止还没有得到任何有用的意见。

Azure ACS samples表明可以向 ACS 添加任意 OpenID 身份提供商。但为了让 ACS 作为各种流行提供商的 STS 在我们的项目中真正发​​挥作用，我们开始让 ACS 与 MyOpenID.com 一起使用(同样，也在示例中使用)。问题也一样the good Vittorio shows ，是 MyOpenID 不会向我们提供姓名和电子邮件地址等声明，除非要求。 Vittorio 和其他人指出这是因为 MyOpenID 不支持属性交换。

不过我对此不太确定。深入研究 ACS 生成的请求 URL，我可以看到诸如 openid.ns.ax=http://openid.net/srv/ax/1.0 和 openid.ax 之类的参数.required=电子邮件、全名、名字、姓氏。此外，openid.ax.type.email 输入为 axschema.org/contact/email 类型。这就是 MyOpenID 出现问题的地方。 MyOpenID 不理解 axschema.org 类型，因此不会返回电子邮件值。

我所知道的是 MyOpenID 理解 schema.openid.net/contact/email 类型。因此，在此基础上，我手动更改了 ACS 请求 url 以使用 openid.net 架构而不是 axschema。你瞧，MyOpenID 使用react并显示我的电子邮件地址实际上将被返回。

以下是我尝试传递到 myopenid.com/server 端点的参数列表:

• openid.ns= http://specs.openid.net/auth/2.0
• openid.mode=checkid_setup
• openid.claimed_id= http://specs.openid.net/auth/2.0/identifier_select
• openid.identity= http://specs.openid.net/auth/2.0/identifier_select
• openid.realm= https://myazurenamespace.accesscontrol.windows.net:443/v2/openid
• openid.return_to= https://myazurenamespace.accesscontrol.windows.net:443/v2/openid ...
• openid.ns.ax= http://openid.net/srv/ax/1.0
• openid.ax.mode=fetch_request
• openid.ax.required=电子邮件，全名
• openid.ax.type.email= http://schema.openid.net/contact/email
• openid.ax.type.fullname= http://schema.openid.net/namePerson

不幸的是，当响应返回到 ACS 时，它还不够好，并且 ACS 失败并显示以下错误代码:

HTTP Error Code: 400 Message: ACS30000: There was an error processing an OpenID sign-in response. Inner Message: ACS90014: Missing required field 'openid.ax.value.email'. Trace ID: f8e09e6f-0765-4370-9f03-f744cce6fa2a Timestamp: 2011-08-02 17:12:57Z

我尝试添加其他字段而不更改原始电子邮件类型，但只得到相同的错误。我开始怀疑实际上 ACS 并未完全支持 AX，并且它经过某种硬编码以仅接受某些类型的声明。

问题是:我的请求参数对您来说是否正确，还是我在这里遗漏了一些明显的东西？

注意:我的初始设置正在运行，如果我保留 ACS 请求不变，并且在 ACS 中仅为身份提供商配置单个直通规则，我可以使用 MyOpenID 通过 ACS 成功验证我的网站身份提供者。尽管 MyOpenID 不会移交，但问题仍然存在。如果 ACS 的请求未明确要求声明类型 http://schema.openid.net/namePerson 或 http://schema.openid.net/，则发送 FullName 或电子邮件至 ACS联系方式/电子邮件

Answer 1

出于安全原因，ACS 不允许调用者重新输入电子邮件地址声明。实际上，您在不知不觉中所做的尝试是来自 this paper 的攻击 4.5(OpenID 数据类型混淆)的变体。 。出于安全原因，ACS 必须确保电子邮件地址和它支持的其他 AX 声明与其所知道的类型完全匹配，否则恶意调用者可能会欺骗 ACS 并用一种声明替换另一种声明。这并不是说 ACS 不支持 AX，而是 ACS 仅支持单一声明类型(如电子邮件声明)，并且与 MyOpenID 使用的声明类型不同。简而言之，这是行不通的。