Anbindung mit OpenID Connect

Das ID Austria System stellt OpenID Connect (OIDC) gemäß der OpenID Connect Spezifikation bereit. Die nachfolgende Beschreibung zeigt eine Anbindung einer Anwendung mittels OIDC am ID Austria System. Detailierte Beschreibungen zu OpenID Connect stehen unter dem nachfolgenden Link zur Verfügung: OIDC Spezifikationen

ID Austria spezifische Eigenschaften für OIDC

• Vom ID Austria System wird ausschließlich der Authorization Code Flow (Response-Type: code) entsprechend der OIDC Spezifikation unterstützt.
• Eine Authentifizierung des Service Providers/Clients mittels client_secret ist verpflichtend. Das client_secret wird im Zuge der Registrierung am IDA-SPR erstellt.
• Das ID Austria System fordert als client_id eine URL welche im Kontext der Anwendung liegen muss.
• Im ID Austria System erfolgt die Anforderung von Attributen über die IDA SP Registrierung (IDA-SPR) und somit haben die für OIDC definierten Scopes keinen direkt Einfluss auf die ausgelieferten Claims. Aus Kompatiblitätsgründen wird jedoch empfohlen, die Scopes „openid“ und „profile“anzufragen.
• Zusätzlich zu den in OIDC spezifizierten Claims, welche im Scope „profile“ definiert sind, unterstützt das ID Austria System spezifische Claims. Eine vollständige Liste aller aktuell vom ID Austria Sysem unterstützten Claims finden Sie im Abschnitt Übersicht der Personenmerkmale.

OIDC Endpunkte am IdP

Produktivsystem

• OIDC Configurations Discovery: https://eid.oesterreich.gv.at/.well-known/openid-configuration
• Authorization Endpoint: https://eid.oesterreich.gv.at/auth/idp/profile/oidc/authorize
• Token Endpoint: https://eid.oesterreich.gv.at/auth/idp/profile/oidc/token
• JWKs URI: https://eid.oesterreich.gv.at/auth/idp/profile/oidc/keyset

Testsystem

• OIDC Configurations Discovery: https://eid2.oesterreich.gv.at/.well-known/openid-configuration
• Authorization Endpoint: https://eid2.oesterreich.gv.at/auth/idp/profile/oidc/authorize
• Token Endpoint: https://eid2.oesterreich.gv.at/auth/idp/profile/oidc/token
• JWKs URI: https://eid2.oesterreich.gv.at/auth/idp/profile/oidc/keyset

Die OpenID Connect Anbindung im ID Austria System steht sowohl für klassische Browser basierte Anwendung als auch für Applikationen auf mobilen Geräten zur Verfügung. (Native) Mobile Apps können somit via OIDC eine Anmeldung mittels ID Austria integrieren. Was für mobile Apps speziell zu beachten ist, ist im zweiten Abschnitt beschrieben.

Anmeldung mittels OIDC

Eine ID Austria Anmeldung mittels OIDC kann in sämtlichen Szenarien durchgeführt werden. Beispiele dafür sind:

• mit einem herkömmlichen Web-Browser auf einem PC / Laptop
• mit einer nativen App
• mit einem mobilen Browser auf einem Smartphone

Jede OIDC Anmeldung startet mit einem Authentifizierungsrequest an den IdP. Dieser wird üblicherweise direkt vom Client (Browser, App) als HTTP GET  oder HTTP POST Request an den IdP gesendet. Der Request erfolgt an den Authorization Endpoint des IdP.

• response_type: Der Response Typ muss mit „code“ angegeben werden da vom ID Austria System nur der Authorization Code Flow unterstützt wird.
• client_id: Der eindeutige Identifikator der SP Applikation, die am ID Austria System registriert sein muss. Das ID Austria System fordert als client_id eine URL welche im Kontext der Anwendung liegen muss.
• scope: Definiert in OIDC das Set von Identitätsinformationen welche vom IdP angefordert werden. Im ID Austria System erfolgt die Anforderung von Attributen über die IDA SP Registrierung und somit wird in diesem Zusammenhang empfohlen die Scopes openid und profile anzufragen.
• redirect_uri: Die Redirect URI definiert die Client-Callback URI an welche das ID Austria System die Authentication Response an den Service Provider ausliefern soll. Hierfür sind ausschließlich http(s) URLs zulässig.
• state: Optionaler jedoch empfohlener Parameter als CSFR / XSRF Schutz um den State zwischen Request und Callback beizubehalten.

Anschließend antwortet der IdP dem Client mit einer Auswahl an Möglichkeiten zur Authentifizierung (ID Austria oder eIDAS), wie in Abbildung 1 dargestellt.

Nach einer erfolgreichen Authentifizierung am IdP, antwortet dieser dem Client mit einer (erfolgreichen) Authentication Response, die den Authorization Code gemäß dem OIDC Authorization Code Flow beinhaltet:

Der Authorization Code wird im Anschluss (üblicherweise vom SP Backend Service) in einem Token-Request an den Token-Endpoint des IdP gesendet, zusammen mit einem registrierten Client-Secret:

Im Body des Post Requests werden die Parameter ‚code‘, ‚grant_type‘, ‚client_secret‘, ‚redirect_uri‘ und die ‚client_id‘ als application/x-www-form-urlencoded übermittelt. Die Verwendung eines ‚client_secrets‘ ist auf jeden Fall verpflichtend und unabhängig davon ob der Flow mit PKCE (RFC7636) abgesichert wurde oder nicht.

Nach erfolgreicher Validierung des Authorization Codes durch den IdP antwortet dieser mit einer OIDC Successful Token Response, die das OIDC idToken enthält. Dieses idToken liefert die angeforderten Attribute (Claims) in Form eines JSON Web Tokens.

Das vom IDP übertragene idToken ist immer mit einer JWS Signatur versehen und somit durch das ID Austria System signiert. Zusätzlich kann das idToken auch mittels eines am ID Austria SP Registrierungssystem (IDA-SPR) hinterlegten Verschlüsselungszertifikat verschlüsselt werden. Im Falle einer zusätzlichen Verschlüsselung des idToken ist dieses entsprechend der OIDC Spezifikation zuerst signiert und anschließend verschlüsselt.

Die vollständige Response inklusive JWS Signatur kann hier (ZIP, 9 KB) heruntergeladen werden.

Die JWS Signatur des id_token beinhaltet den:

• JWS Signaturheader mit Metadaten zur JWS Signatur
• PayLoad welche die Attribute des Benutzer bzw. der Benutzerin und weitere Authentifizierungsmerkmale beinhaltet
• JWS Signaturwert

Die vollständige Payload des id_token (ZIP, 3 KB) steht auch zum Download zur Verfügung.

Verwendung von OIDC in nativen Apps

Die Verwendung von OIDC ist aus Protokollsicht grundsätzlich in allen Varianten ähnlich. Das heißt unabhängig davon, ob OIDC in einem Browser-basierten Flow Verwendung findet oder ob OIDC in einem App2App Szenario, bei welchem die ID Austria Anmeldung in eine nativen App integriert wird, zum Einsatz kommt. Durch die App2App Kommunikation auf mobilen Geräten und damit verbundenen plattformspezifischen Eigenheiten ergeben sich jedoch spezielle Aspekte für die Integration von OIDC welche in OpenID Connect für mobile Apps im Detail beschrieben werden.