Liferay and eHerkenning with SAML

Veilige toegang tot zakelijke diensten

Liferay & eHerkenning

Willem VermeerFreelance java/liferay engineer

Insert User Group Logo Here

WWW.LIFERAY.COM WWW.FACEBOOK.COOM/LIFERAY @LIFERAY

Security


The business case

Insert User Group Logo (please resize)

http://www.rijksoverheid.nl/documenten-en-publicaties/kamerstukken/2013/05/23/visiebrief-digitale-overheid-2017.html of google op digitale overheid 2017

http://www.rijksoverheid.nl/documenten-en-publicaties/kamerstukken/2013/05/23/visiebrief-digitale-overheid-2017.html


The business case at Immigratie en Naturalisatie Dienst (IND)


Uit jaarverslag 2014:


Security … hoe zat het ook alweer


• userid/password• LDAP• OpenID• Facebook..

• roles• groups• permissions


Service provider vs Identity provider



Security - Identity Providers in Nederland


particulier zakelijk


eHerkenning


een gestandaardiseerd inlogsysteem, waarmee

ondernemers met één sleutel kunnen inloggen bij diverse

overheden, instellingen of andere organisaties.ontwikkeld door het

bedrijfsleven in samenwerking met de

overheid


eHerkenning makelaars



4 Betrouwbaarheidsniveaus



Aansluiten



SAML


• OASIS Standard since 2005

• XML Based

• Assertion about identity (BSN, KvK)

• Open SAML java implementation


SAML Assertion Example


1.

2.

3.

4.

5.


Inlog proces - HTTP POST



Inlog proces - HTTP Artifact Binding



Liferay en SAML


is gebaseerd op

bevat ‘glue-code’ om login proces bij SAML IdP vanuit Liferay te starten en in

http session te verwerken






Liferay en SAML


# keystore typesaml.keystore.type=jks # location of the keystoresaml.keystore.path=/export/www/portal/data/keystore.jks # pwd for accessing the keystoresaml.keystore.password=bigsecret # pwd for accessing the certificate of the entity in the keystoresaml.keystore.credential.password[urn\:nl\:eherkenning\:DV\:00000003507204570000\:entities\:0003]=bigsecret # Service Provider SAML entity idsaml.sp.default.idp.entity.id=urn:nl:eherkenning:HM:00000003273226310000:entities:3017

portal-ext.properties




Liferay SAML Plugin Customization



Liferay SAML Plugin Customization


• customize authentication request• customize post-login action


After login - then what?


• end result of authentication: information about identity of user

• proceed with authorization (roles, groups, organisation)

• important: we need a persistent Liferay User object


Limitations of Liferay SAML Plugin


• poor customisation possibilities

• no support for multiple IdPs => cannot connect both Digid and eHerkenning

• no support for Artifact binding


Our status


• still in testing phase

• need to address plugin limitations - cooperation with Liferay

• more complicated scenarios such as ‘machtigingen’?

• what will happen when live?


Questions?


Liferay and eHerkenning with SAML

Internet

liferay liferay en saml

liferay aansluiten

keystore saml

liferay eherkenning

liferay saml assertion

keystore type saml

identity bsn

http session te verwerken