将 SSO 与 E2EE 相结合

Question

我们运行带有一种端到端加密系统的 web 应用程序，其中所有内容都使用从用户密码派生的密钥进行加密。 我们知道这并不理想，但这似乎是我们目前拥有的最佳解决方案。

最近也来了一个SSO实现的请求。 由此看来，无需桌面或移动应用程序即可实施 SSO 和 E2EE 是可能的，但这是我发现的唯一提及。

有没有一种方法可以从 SSO 提供者那里获得一些对每个用户都是唯一的并且可以安全地用于用户数据加密的秘密？ 或者这根本不是一个好主意？

我浏览了 AWS Cognito 和 Auth0 文档，但没有找到任何有用的信息。 目前，我们正在 AWS Cognito 中进行一些实施，但不介意切换到其他提供商。

Answer 1

E2EE 的主要原则是服务提供商不知道用户密钥。 这意味着密钥，无论它是什么，都必须保存在用户端。

另一方面，SSO 的主要原则是服务提供商不要求用户密码，通常是用户从身份服务器获得的易腐令牌。

所以乍一看，如果在加密机制中使用用户密码，这两个原则确实是不兼容的。

Dave Baker的这篇博文解释了矩阵协议如何处理这些困难并实现 E2EE 和 SSO 以及多个设备。
剧透：用户需要做额外的工作，因为他们需要在他们使用的每个设备上输入一次密码，并且对话者还需要以带外方式至少验证一次彼此的身份。