Clement Delafargue

Securité dans les applications: peut on rendre le sujet moins complexe ?

Dans cette interview nous discuterons sécurité de manière générale mais aussi d'un sujet plus particulier qui en fait partie et qui est souvent complexe à traiter : les autorisations. Pour cela nous aurons la chance d'avoir Daniel pour nous parler Spring Security, et Geoffroy et Clément pour nous parler de Biscuit.

Systèmes distribués : ne jetez pas le bébé avec l'auth du bain !

Depuis l'essor des architectures microservices, l'auth a bien évolué. Les solutions basées sur un serveur d'authorisation central sont certes simples à mettre en place, mais rendent les systèmes moins résilients. Si le serveur d'auth tombe, l'ensemble de la plateforme tombe. De l'autre côté du spectre, des systèmes à base de jetons au porteur (comme JWT) permettent de s'affranchir des contraintes d'un système centralisé. En revanche, de tels systèmes sont notoirement complexes à mettre en place et nécessitent une bonne dose d'expérience pour éviter les erreurs. Dans cette conférence je vous présenterai :

• comment choisir entre un système d'auth centralisé et un système distribué
• un tour d'horizon des solutions possibles pour les jetons au porteur;
• les différentes architectures d'auth possibles (passerelle d'auth, intégration directe, …);
• les éléments indispensables à mettre en place dans un tel système (rafraîchissement des tokens, révocation, rotation des clés, …);
• la plateforme biscuit, construite autours de ces use cases. Et si vous êtes sages on pourra prendre le temps d'écrire des règles d'accès avec datalog, un langage logique inspiré de prolog.