SaaS et OIDC : un mariage réussi grâce à OAuthSD !

Une des fonctionnalités que DnC a développées au plus haut niveau avec son serveur OAuthSD consiste à transmettre des informations sécurisées au moyen du jeton d’identité JWT.

Nous décrivons dans cet article l’application DnC SaaS, un système de diffusion de logiciel en tant que service (Software as Service, SaaS). Dans cette application, OAuthSD fournit l’authentification OIDC et transmet de façon sécurisée aux applications SaaS les paramètres relatifs aux abonnements des souscripteurs.

Position du problème

La plupart des système SaaS intègrent l’application et le système de vente dans un même logiciel.

Si différentes applications web doivent être diffusées en mode SaaS par une même entité, le premier problème à résoudre consiste à assurer le service de connexion unique (SSO) entre le système de vente et les différentes applications. Pas de problème, c’est le rôle d’un serveur OIDC, OAuthSD fait cela très bien.

Le deuxième problème, plus intéressant, consiste à transmettre des informations du système de vente vers les applications. S’agissant de la validité de l’abonnement et des options (payantes), il faut sécuriser ces données, c’est à dire permettre à l’application destinataire de contrôler :
- l’intégrité (les données n’ont pas été falsifiées),
- l’authenticité de leur origine (elles ont bien été délivrées par le système SaaS),
- l’actualité (ce sont bien des données valides à l’instant considéré),
- la destination (ce sont bien des données relatives à cette application),
- et bien sûr l’identité de l’utilisateur final (ce n’est pas un intrus qui utilise l’application).

La solution : OAuthSD

OAuthSD permet d’intégrer les données SaaS sous forme de déclarations supplémentaires dans la charge utile du jeton JWT. Il suffira à l’application destinataire (cliente du serveur OIDC) de valider le jeton d’identité par introspection (et non localement afin d’assurer l’actualité) pour réaliser en une seule opération les contrôles décrits ci-dessus.

Le système DnC SaaS et l’une de ses applications NSS Lite illustrent parfaitement cette technique.

Pour réaliser cela, nous avons :
- intégré dans une même application le serveur OIDC et le système de vente,
- développé des plugin d’extension OIDC-SaaS notamment pour des applications fondées sur SPIP ou Wordpress .

Nous serions heureux de pouvoir assister les PME pour leur permettre de développer leur propre système de SaaS et d’adapter leurs applications web. Notre positionnement de conseil et d’assistance permettrait un développement indépendant de prestataires extérieurs coûteux. Et de systèmes tiers hasardeux en termes de sécurité : pourquoi nourrir le big-data au profit de vos concurrents ?

Une idée, un projet?

Degoy net Consultants
76 avenue du Général Leclerc
92340 - Bourg la Reine

SARL au capital de 7500 €