Definition
OpenID Connect ist ein offenes Standardprotokoll zur Authentifizierung von Nutzern im Internet. Es erweitert das OAuth-2.0-Protokoll um eine Identitätsschicht, die es ermöglicht, die Identität eines Nutzers sicher zu überprüfen und grundlegende Profildaten bereitzustellen. OpenID Connect wird häufig eingesetzt, um Single Sign-On (SSO) und föderierte Identitäten zu realisieren.
Das Protokoll definiert dabei standardisierte Mechanismen zur Übertragung von Identitätsinformationen in Form von JSON Web Tokens (JWT). Diese Tokens enthalten Informationen über den Nutzer, die von einem sogenannten Identity Provider (IdP) ausgestellt werden. OpenID Connect ist dadurch eine Kombination aus Authentifizierung und Autorisierung, wobei der Schwerpunkt auf der Authentifizierung liegt.
Was bedeutet das für Ihr Unternehmen?
OpenID Connect ist der Standard hinter Anmeldungen wie „Mit Microsoft anmelden“ und wird für Sie relevant, wenn Mitarbeiter oder Kunden sich mit einem bestehenden Konto in Ihrer Software anmelden sollen. Verlässt ein Mitarbeiter das Unternehmen, genügt dann das Sperren des zentralen Kontos, statt Zugänge in jeder Anwendung einzeln zu löschen. Größere Geschäftskunden fragen bei Software-Anbietern zunehmend gezielt nach dieser Anbindung an ihr eigenes Firmenkonto.
Geschichte und Standardisierung
OpenID Connect wurde erstmals im Jahr 2014 veröffentlicht und ist eine Initiative der OpenID Foundation, einer gemeinnützigen Organisation zur Förderung offener Identitätsstandards. Die Entwicklung erfolgte als Reaktion auf die zunehmende Verbreitung von OAuth 2.0, das ursprünglich nur für Autorisierung konzipiert war, aber oft für Authentifizierungszwecke missbraucht wurde.
Der Standard wurde von einer Arbeitsgruppe innerhalb der OpenID Foundation erarbeitet und basiert auf bestehenden Webtechnologien wie JSON, REST und OAuth 2.0. Seit der Veröffentlichung wurde OpenID Connect von vielen großen Unternehmen und Plattformen übernommen und gilt heute als einer der wichtigsten Standards für Identitätsmanagement im Web.
Funktionsweise
OpenID Connect nutzt das OAuth-2.0-Framework, um Zugriffs- und Identitätstoken auszutauschen. Der Nutzer authentifiziert sich beim Identity Provider, der daraufhin ein ID-Token ausstellt, das vom Client überprüft werden kann. Dieses ID-Token enthält Informationen wie die Nutzer-ID, den Aussteller und die Gültigkeitsdauer.
Der Ablauf umfasst typischerweise mehrere Schritte: Der Client leitet den Nutzer zur Anmeldung zum Identity Provider weiter, empfängt nach erfolgreicher Authentifizierung ein ID-Token und optional ein Access-Token, und kann anschließend die Identität des Nutzers verifizieren. Zusätzlich können über den UserInfo-Endpunkt weitere Profildaten abgefragt werden.
Einsatzgebiete
OpenID Connect wird vor allem in webbasierten Anwendungen und mobilen Apps eingesetzt, um eine sichere und standardisierte Nutzeranmeldung zu ermöglichen. Es findet Verwendung bei Single Sign-On-Lösungen, bei denen Nutzer sich mit einem einzigen Account bei verschiedenen Diensten anmelden können.
Darüber hinaus wird OpenID Connect in föderierten Identitätssystemen genutzt, bei denen unterschiedliche Organisationen Identitätsinformationen austauschen. Beispiele sind Unternehmensnetzwerke, Cloud-Dienste und soziale Netzwerke, die Identitätsdienste bereitstellen.
Abgrenzung zu verwandten Standards
Im Vergleich zu OAuth 2.0, das ausschließlich für die Autorisierung von Zugriffen auf Ressourcen dient, erweitert OpenID Connect die Funktionalität um eine standardisierte Authentifizierungsschicht. OAuth 2.0 allein liefert keine verlässlichen Informationen über die Identität eines Nutzers.
Ein verwandter Standard ist SAML (Security Assertion Markup Language), der ebenfalls für föderierte Authentifizierung verwendet wird. Während SAML auf XML basiert und vor allem in Unternehmensumgebungen verbreitet ist, nutzt OpenID Connect moderne Webtechnologien wie JSON und REST und ist daher besonders für Web- und Mobile-Anwendungen geeignet.