Aggiungere SSO dopo che molti utenti si sono già registrati -- come migrarli?

SSO
1

Ciao a tutti.

Qual è il modo corretto per importare tutti gli utenti Discourse esistenti in intercoin.app da Discourse? Esiste una sorta di endpoint REST che restituisce tutti gli utenti con le loro password hashate e i salt, tra le altre cose? Qual è il link all’algoritmo di hash su GitHub? Dovrò codificare dalla nostra parte, per utilizzare lo stesso algoritmo di hash con la password e il salt inseriti, se il nostro non dovesse funzionare, per consentire a questi ragazzi di accedere. Penso che il punto #2 sia rilevante ogni volta che un utente Discourse attiva l’SSO in seguito (come stiamo facendo noi), quindi risolverlo aiuterebbe anche altri utenti Discourse.

2 Mi Piace
2

Approccio interessante.

In user.rb

  def confirm_password?(password)
    return false unless password_hash && salt
    self.password_hash == hash_password(password, salt)
  end

  def hash_password(password, salt)
    raise StandardError.new("la password è troppo lunga") if password.size > User.max_password_length
    Pbkdf2.hash_password(password, salt, Rails.configuration.pbkdf2_iterations, Rails.configuration.pbkdf2_algorithm)
  end

e poi il codice Pbkdf2 è qui: discourse/lib/pbkdf2.rb at 201228162c277b9833bb2988388553fdbfb39521 · discourse/discourse · GitHub

2 Mi Piace
3

Eccellente! Ora qual è l’endpoint HTTP che devo chiamare per ottenere tutte le informazioni dell’utente, inclusi hash della password e salt?

Immagino che non ce ne sia uno da servire al pubblico in generale (perché rendere più facile hackerare le persone?) Quindi cosa posso fare? Connettersi al database MySQL? Scrivere un plugin Discourse?

1 Mi Piace
4

Queste sono fondamentalmente le tue opzioni, sì.

1 Mi Piace
5

Lo schema del database è documentato da qualche parte?

Come connettersi al database postgres in docker? Scusate se è una domanda sciocca.

1 Mi Piace
6

Ho appena parlato con il nostro team e sono d’accordo, sono disposto a pagare qualcuno per creare un piccolo plugin Discourse che esponga tramite un endpoint alcune informazioni JSON su un utente, dato il suo indirizzo email.

Ho trovato discourse/app/models/user.rb at main · discourse/discourse · GitHub che ha “password_hash” sale e nome, username. Ma non ha l’email. Per quello, vedo user_email discourse/app/models/user_email.rb at main · discourse/discourse · GitHub

Quindi dato un’email il plugin cercherà semplicemente nella tabella user_email per posta, troverà user_id e prenderà la riga dell’utente, e invierà tutti i campi “sicuri”, incluso il sale.

Per maggiore sicurezza, le richieste possono essere firmate tramite HMAC utilizzando un segreto condiviso che può essere fornito al plugin.

Qualcuno vuole realizzarlo? Mandami un messaggio o rispondi qui e fammi sapere come contattarti. Si spera che sia semplice (un paio di SELECT e un controllo per HMAC se il segreto è stato impostato). Leggeremo il JSON.

1 Mi Piace
7

Userei semplicemente admin/users/list/active.json esistente ed estenderei la risposta con le password hashate.

Inoltre, attieniti al meccanismo di autenticazione API esistente, non reinventare un’altra ruota.

1 Mi Piace
8

Quindi stai dicendo di avere una cosa una tantum che importa tutti gli utenti uniti con tutti i loro salt e password?

Va bene, ma ciò richiede comunque un plugin, non è vero? Quindi sarebbe fantastico se qualcuno di Discourse potesse crearlo.

1 Mi Piace
9

Probabilmente userei il plugin data explorer per esportare le informazioni che desideri. Sarà molto più facile che scrivere un nuovo plugin.

1 Mi Piace
10

Come faccio a scoprire questo valore di configurazione? Qual è il valore predefinito, è da qualche parte nel codice? @RGJ

11 
root@server:~# cd /var/discourse/
root@server:/var/discourse# ./launcher enter app
x86_64 arch rilevato.
root@server:/var/www/discourse# rails c
[1] pry(main)> Rails.configuration.pbkdf2_iterations
=> 64000
[2] pry(main)>
12

Grazie! OK @RGJ un paio di domande rapide:

La libreria xorcist è solo un xor di stringa più veloce, giusto? Cosa succede se uno dei caratteri risulta essere 0 perché ‘a’ è stato xor con ‘a’? Le stringhe non sono terminate da null?

Il mio obiettivo è portarlo in PHP, quindi qualsiasi cosa tu possa fare per aiutarmi (come darmi informazioni su come replicarlo in PHP) sarà molto utile.

Inoltre, cosa sta facendo questa riga? ret.bytes.map { |b| (\"0\" + b.to_s(16))[-2..-1] }.join(\"\")

$u = hash_hmac('sha256', $password, $salt . pack('N', 1));
$ret = $u = hash_hmac('sha256', $password, $u);
for ($i=2; $i<$iterations; ++$i) {
  $u = hash_hmac('sha256', $password, $u);
  $ret = ($ret ^ $u);
}
// todo: capire cosa sta facendo RUBY in quest'ultima riga

Ci sono vicino? Puoi per favore sistemare questo codice PHP?

13

Questa è una funzione integrata.

$hash = hash_pbkdf2('sha256', 'YourPassword', 'YourSalt', 64000, 64, false);

Tipicamente gli algoritmi di hash operano su dati binari e il risultato viene codificato in esadecimale o Base64 all’uscita. Quindi non è un problema.

1 Mi Piace
14

Grazie mille Richard! Mi hai fatto risparmiare TANTISSIMO tempo dovendo implementarlo in PHP userland!

15

Sì! Sono riuscito a creare uno script che scorre tutti gli utenti di Discourse e li importa sulla nostra piattaforma con il loro hash della passphrase.

Presto potremo consentire a chiunque abbia un forum Discourse di aggiungere anche Eventi, Videoconferenze, Media e altro, con Discourse che risiede nella scheda “Discuss”. Puoi vedere il risultato su https://intercoin.app

In pratica, trasformiamo qualsiasi installazione di Discourse in un social network moderno alla Facebook. Abbiamo lavorato per anni su queste funzionalità e ora vogliamo integrarle strettamente anche con Discourse e Wordpress. In modo che le persone possano combinare Wordpress, Discourse e Qbix e auto-ospitare la loro intera community.

image
image1920×1201 202 KB

Ma ho ancora due problemi.

  1. In Qbix, effettuiamo l’hashing della password sul client almeno con sha1(password + userId) prima di inviarla al server. Anche quando è https. Lo facciamo in modo che il server o qualsiasi MITM NON abbia MAI la password, per riutilizzarla su più siti. Ma Discourse invia semplicemente la password al server. Quindi abbiamo dovuto disattivare questo hashing sul lato client. È possibile eseguire alcune iterazioni di hash_pbkdf2 sul lato client e il resto sul lato server? Ho provato e non sembra corrispondere:
php > $password = 'abc';
php > $salt = 'def';
php > $a = hash_pbkdf2('sha256', $password, $salt, 64000, 64, false);
php > $b = hash_pbkdf2('sha256', $password, $salt, 1, 64, false);
php > $c = hash_pbkdf2('sha256', $password, $b, 63999, 64, false);
php > echo $a;
9d7a21ae4113bea06d81e0c486f45ab778bb739f19f7a6a305d8401918a9d8a1
php > echo $c;
f42af6861ebcf8560b027276e0d02ad46502636045486057d81be7c4c4aa630e
  1. Sarebbe possibile utilizzare semplicemente Discourse come Provider SSO, invece di usare il nostro sito come provider SSO? Allora gli host dei forum Discourse sarebbero ancora più propensi ad espanderlo con le funzionalità di Qbix, dato che il login rimarrebbe esattamente lo stesso, e dal lato di Discourse. Facebook, Google e chiunque altro. Esiste una documentazione su che tipo di informazioni restituisce Discourse Connect come Provider SSO al nostro sito consumer? Include cose come la foto che possiamo scaricare, il nome, il cognome e almeno il nome utente?
16

A dire il vero, non credo che l’invio di una password tramite HTTPS da parte di Discourse sia la tua più grande sfida di sicurezza in questo momento.

Certo. Penso che otterrai la maggior parte delle cose nel serializzatore utente standard.
Ma se non bastasse, puoi sempre usare l’API per recuperare maggiori informazioni da Discourse.

2 Mi Piace
17

Onestamente, non credo che l’invio di una password tramite HTTPS da parte di Discourse sia la tua più grande sfida di sicurezza in questo momento.

Carino. Vedo il tuo sha1 e ti abbasso l’md5 :slight_smile:

Capisco perché quel pbkdf2 non funziona davvero per dividerlo… il problema è la prima riga:

U1 = PRF(Password, Salt + INT_32_BE(i))
U2 = PRF(Password, U1)
⋮
Uc = PRF(Password, Uc−1)

Qualche idea su come dividerlo, però? Immagino di poter semplicemente usare la libreria php pura in userland: pbkdf2/src/PBKDF2.php at master · Spomky-Labs/pbkdf2 · GitHub

Consiglierei a Discourse di hashare le cose con un salt (userId funziona) prima di inviare la password attraverso la rete. Perché no? Non deve diventare incompatibile con ciò che stai memorizzando nel database ora. Semplicemente fai le prime 100 iterazioni in Javascript, poi sottrai 10 da 64000. Hai un’implementazione personalizzata comunque (copiata da rails) quindi invieresti semplicemente una variabile isHashed, e se è vera, allora fai solo gli “ultimi” 64K-10 passaggi.

18

L’ID utente non è noto prima del login, quindi non funzionerà…

10 iterazioni non sono sicure e 63990 iterazioni sono meno sicure di 64000 iterazioni. Quindi, sebbene sia marginale, sembra che tu stia sostituendo un metodo sicuro con due metodi meno sicuri e molta complessità aggiuntiva.

E qual è il guadagno effettivo?

1 Mi Piace