FIWARE-Keyrock：如果OAuth2憑據不控制訪問，為什么它們與應用程序相關？

Question

我們有一種情況，我想使用Wilma PEP代理保護服務X。 服務X在Keyrock中注冊。 Wilma PEP代理包含在Keyrock中為服務X生成的PEP憑據。應用程序Y可以使用為此特定服務生成的正確OAuth2憑據（來自Service X的client_id和client_secret）訪問服務X。 沒關系。 但是有一個問題：應用程序Z還可以使用不同的OAuth2憑據（而不是服務X憑據）訪問服務X！

如果有可能，為什么如果應用程序不控制任何內容，為什么我們要在Keyrock中生成具有特定OAuth2憑據的應用程序？ 它沒有任何意義！

這是一個很大的安全問題，因為一個入侵者可以在Keyrock中注冊某個應用程序，並使用為此特定應用程序生成的令牌（具有其自己的OAuth2憑據），該入侵者可以訪問在此Keyrock實例中注冊的所有應用程序！

Answer 1

如您在PEP代理文檔中所見，級別1僅檢查身份驗證。 因此，每個具有有效令牌（即在Keyrock中進行了身份驗證）的用戶都將被重定向到服務器應用程序。 如果還要檢查授權，則必須配置具有基本或高級安全授權級別的AuthZForce服務器。

另一方面，在令牌驗證響應中，您將獲得一個字段application_id，該字段指示您創建令牌的范圍。