authentication - OpenID Connect 适用于物联网吗？

Question

我正在为我的硕士论文研究身份验证和授权协议(protocol)，我发现最好的 2 个替代方案可能是 OpenID Connect 和 SAML 2.0(实际上，欧洲的 SAML我公司 4 年前参与的基于 - 的项目，名为 SENSEI)。

本文的目的是扩展现有的物联网系统，它基本上是一个流目录，其中包含从数百万个传感器获取的信息，并提供 AAA(包括会计)，将其转化为实际的流市场人们可能会付费订阅某些流。

到目前为止，我认为 OpenID Connect 是比 Sensei 和 SAML 更好的选择。原因是大量的信息、文档、图书馆和支持该标准的公司。也对开发人员更友好且最近。但是，我阅读了OWASP写的以下段落in this article

While OpenId has taken most of the consumer market, SAML is often the choice for enterprise applications. The reason for this is often that there are few OpenId identity providers which are considered of enterprise class (meaning that the way they validate the user identity doesn't have high standards required for enterprise identity). It is more common to see SAML being used inside of intranet websites, sometimes even using a server from the intranet as the identity provider.

所以我想知道您能否帮我解决以下问题:

1. 您是否还认为 SAML 可能更适合像我这样的企业项目？ OpenID 是否更面向用户？
2. 我还必须考虑有关传感器的信任模型，以确保它们是可靠的信息来源。因此，您认为为 1) 想要登录系统的用户和 2) 应该证明它们是具有非伪造数据的可信来源的设备使用相同的协议(protocol)是个好主意吗？
3. 关于上一个问题，如果我可以为设备使用 OpenID Connect，我如何才能让它们在没有电子邮件或密码的情况下进行身份验证？我在考虑将 UUID 作为标识符，但有人告诉我这不是一个好主意，并且在 this StackOverflow thread 上也看到了同样的内容。 .
4. 有谁知道系统中是否存在处理或支持记账的众所周知的协议(protocol)？据我所知，OpenID Connect 支持 session 管理，但不支持 100% 的计费。

提前致谢。

Answer 1

我不确定我能否在这里回答您的所有问题...但我会根据我的经验和知识尽力而为。而且，我会说你对这个问题有点模糊(也许你需要，以免暴露你十亿美元的想法)。因此，我的回答确实(诚然)更有可能被视为讨论点，而不是“答案”。

OIDC (OpenID Connect) 是新事物，IoT(物联网)也是新事物。企业很少处于前沿，除非他们被更大的企业合作伙伴拖入其中，又踢又叫。话虽这么说，OIDC 建立在 OAuth2.0 之上，所以它在那里有理解，企业确实处于接受阶段 (IMO)，许多购买的平台(比如我公司的)在 [当前草案 1]。

我认为需要指出的重要一点是，SAML 或 OIDC 都不是“身份验证”。这是一种基于标准的方法，通过它您可以将属性从身份验证点传送到需要知道谁或什么连接到它的应用程序点。您的用户可以用一种方式连接，您的“传感器”可以用另一种方式连接。或者两者兼而有之。或者可能恰恰相反。如果您要构建下一个万亿美元的社交媒体网站，您是否想限制用户加入的方式？

关于您关于 OIDC 和传感器的问题...我建议使用基于证书的身份验证系统，如果这些东西真的只是单独存在的话。然而，OIDC(和 SAML)实际上并不是一个身份验证系统。它不执行身份验证的“前线”——它提供了一种方法，通过该方法可以根据与受信任合作伙伴的经过验证的声明将身份传递给依赖方。 UUID 可能是设备“用户名”的不错选择，但它肯定不应该是“密码”。

最后，我不太确定您对会计的要求是什么。您是否想通过微交易(有趣的概念，如果是的话)向用户收取访问您的 IoT 设备流的费用。同样，至少就我所知，SAML 和 OIDC 都没有提供类似的东西。会计(和计费)必须内置到应用程序中。

HTH-- 安迪