[dss-developer] Non-Credentials Auth für GetRelayLinkAndToken?

[Jonas Schnelli]

Hallo Zusammen

Ich habe neuerdings mit dem WS GetRelayLinkAndToken herumgespielt.
Aus meiner Sicht ist dieser WS sicherheitstechnisch nicht ideal aufgestellt.

Externe Clients (i.d.R. Smartphone Apps) „loopen" so die Digitalstrom.com Credentials durch die App.
Der Benutzer muss der App also vollumfänglich vertrauen und kann später nicht einzelne Apps „ausschliessen“.
Wie in den Dokus (JSON API) geschrieben, sollen die Apps die Credentials nicht Zwischenspeichern. Doch welche Sicherheit hat der Endbenutzer?
Zudem gehen die Credentials noch über weitere Systeme (Network-Library / OS / openssl, etc.).

Wäre es nicht möglich, diesen WS folgendermassen zu gestalten:

1. SmartphoneApp sendet nur Application UUID (selber erstellt) ohne Credentials an GetRelayLinkAndToken (Response: „waiting for access“ oder Ähnlich).
2. WS stellt Zugriffsanfrage auf lokalen DSS
3. Benutzer muss den Zugriff der App via DSS erlauben (wie bei lokaler JSON API)
4. SmartphoneApp fragt nach Zugriff via GetRelayLinkAndToken, sofern User wie in Schritt 3 erlaubt, dann kommt Token und RelayLink

Die Credentials werden wahrscheinlich mitgeschickt, weil niemand mehr möchte, dass die User sich im DSS anmelden und die App so freischalten zu müssen (UX bedingt).
Doch für non-aizo/digitalstrom.com Apps würde ich es begrüssen, die oben beschriebene zwei Schritt Authentifizierung ohne Credentials parallel benutzen zu können.
Als Endbenutzer würde ich es schätzen, könnte ich mein DSS/RemoteConnectivityApp so konfigurieren, dass sich Remote Apps via DSS registrieren müssen und ich diese jeweils freischalten könnte/müsste (und so die Sicherheit hätte, dass meine Credentials nicht unnötig durch’s Netz wandern).

Ich erachte die DS Installation als sicherheitstechnisch sehr sensibel, denn niemand möchte, dass Unbefugte im „Stromnetz" herumspielen.
Darum würde ich es begrüssen, gäbe es eine Möglichkeit, die Übermittlung von Credentials zu unterdrücken.

Grüsse
---
Jonas

°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°
include7 AG
Jonas Schnelli
Mattengasse 27
CH-8005 Zürich
Switzerland
Office: +41 44 500 16 70

Mail: jonas.schnelli at include7.ch
Web: www.include7.ch
V-Card: www.include7.ch/js.vcf
°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°

ACHTUNG
Bitte senden sie uns keine sensitiven Daten in unverschlüsselten E-Mails.
Verwenden Sie hierzu folgenden Link:
https://include7.ch/contact/secureform

°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°

-------------- next part --------------
An HTML attachment was scrubbed...
URL: <http://forum.digitalstrom.org/pipermail/dss-developer/attachments/20140930/6f9bd0b9/attachment.html>
-------------- next part --------------
A non-text attachment was scrubbed...
Name: smime.p7s
Type: application/pkcs7-signature
Size: 4160 bytes
Desc: not available
URL: <http://forum.digitalstrom.org/pipermail/dss-developer/attachments/20140930/6f9bd0b9/attachment.bin>