Prof. Byoungcheon Lee's Homepage

https://developer.mozilla.org/en-US/docs/Mozilla/Persona/Protocol_Overview

 

Persona is built on the BrowserID protocol. This page describes the BrowserID protocol at a high level.

Actors

The protocol involves three actors:

• Users: The actual people that want to sign into websites using Persona.
• Relying Parties (RPs): Websites that want to let users sign in using Persona.
• Identity Providers (IdPs): Domains that can issue Persona-compatible identity certificates to their users.

Persona and the BrowserID protocol use email addresses as identities, so it’s natural for email providers to become IdPs.

Mozilla operates a fallback IdP so that users can use any email address with Persona, even one with a specific domain that isn’t an IdP itself.

There are three distinct steps in the protocol:

1. User Certificate Provisioning
2. Assertion Generation
3. Assertion Verification

As a prerequisite, the user should have an active identity (email address) that they wish to use when logging in to websites. The protocol does not require that IdP-backed identities are SMTP-routable, but it does require that identities follow the user@domain format.

User Certificate Provisioning

In order to sign into an RP, a user must be able to prove ownership of their preferred email address. The foundation of this proof is a cryptographically signed certificate from an IdP certifying the connection between a browser’s user and a given identity within the IdP’s domain.

Because Persona uses standard public key cryptography techniques, the user certificate is signed by the IdP’s private key and contains:

• The user’s email address.
• The user’s public key for that address on that browser.
• The time that the certificate was issued.
• The time that the certificate expires.
• The IdP’s domain name.

The user’s browser generates a different keypair for each of the user’s email addresses, and these keypairs are not shared across browsers. Thus, a user must obtain a fresh certificate whenever one expires, or whenever using a new browser or computer. Certificates must expire within 24 hours of being issued.

When a user selects an identity to use when signing into an RP, the browser checks to see if it has a fresh user certificate for that address. If it does, this step is complete and the browser continues with the assertion generation step below. If the browser does not have a fresh certificate, it attempts to obtain one from the domain associated with the chosen identity.

1. The browser fetches the /.well-known/browserid support document over SSL from the identity’s domain.
2. Using information from the support document, the browser passes the user’s email address and associated public key to the IdP and requests a signed certificate.
3. If necessary, the user is asked to sign into the IdP before provisioning proceeds.
4. The IdP creates, signs, and gives a user certificate to the user’s browser.

With the certificate in hand, the browser can continue with generating an identity assertion and signing into an RP.

Assertion Generation

The user certificate establishes a verifiable link between an email address and a public key. However, this is alone not enough to log into a website: the user still has to show their connection to the certificate by proving ownership of the private key.

In order to prove ownership of a private key, the user’s browser creates and signs a new document called an “identity assertion.” It contains:

• The domain of the RP that the user wants to sign into.
• An expiration time for the assertion, generally less than five minutes after it was created.

The browser then presents both the user certificate and the identity assertion to the RP for verification.

Assertion Verification

The combination of user certificate and identity assertion is sufficient to confirm a user’s identity.

First, the RP checks the domain and expiration time in the assertion. If the assertion is expired or intended for a different domain, it’s rejected. This prevents malicious re-use of assertions.

Second, the RP validates the signature on the assertion with the public key inside the user certificate. If the key and signature match, the RP is assured that the current user really does possess the key associated with the certificate.

Last, the RP fetches the IdP’s public key from its /.well-known/browserid document and verifies that it matches the signature on the user certificate. If it does, then the RP can be certain that the certificate really was issued by the domain in question.

Once verifying that this is a current login attempt for the proper RP, that the user certificate matches the current user, and that the user certificate is legitimate, the RP is done and can authenticate the user as the identity contained in the certificate.

The Persona Fallback IdP

What if a user’s email provider doesn’t support Persona? In that case, the provisioning step would fail. By convention, the user’s browser handles this by asking a trusted third party, https://login.persona.org/, to certify the user’s identity on behalf of the unsupported domain. After demonstrating ownership of the address, the user would then receive a certificate issued by the fallback IdP, login.persona.org, rather than the identity’s domain.

RPs follow a similar process when validating the assertion: the RP would ultimately request the fallback IdP’s public key in order to verify the certificate.

새 중에 가장 빠른 새는? (? ?? ?)
눈 감을 새

갓 태어난 병아리가 찾는 곳은? (??)
약국

누구나 발 벗고 나서야 할 수 있는 일은? (? ?? ?)
발 씻는 일

‘미소’의 반대말은? (???)
당기소

반쯤은 앉고 반쯤은 서서 추는 춤은? (????)
엉거주춤

새 발의 피와 비슷한 말은? (? ?? ?)
새 코의 땀

서울에서 부산을 가는 기차는 2시간이면 대전에 도착한다고 한다. 서울역을 출발한지 1시간 뒤에는 어디를 달리고 있을까? (??)
철도

‘마시고 돈내고 나가라’를 세 글자로 줄인 이름은? (???)
마돈나

‘슈퍼마켓에서 물건을 배달하는 사람’을 세 글자로 줄이면? (???)
슈퍼맨

‘아이 추워’의 반대말은? (?? ??)
어른 더워

사돈이 땅 사는 일이 많을수록 잘 팔리는 약은? (???)
위장약

지렁이도 밟으면 꿈틀한다. 그 이유는? (????)
아프니까

‘끓는 물에 손을 넣었다’를 한자로 줄이면? (?)
악

‘할아버지 발은 큰발’를 넉자로 줄이면? (????)
노발대발

‘활을 기가 막히게 잘 쏘는 여자’를 다섯 글자로 줄이면? (??? ??)
활기찬여자

‘바느질을 하기 위해 실을 찾는 남자’를 다섯 글자로 줄이면? (??? ??)
실없는남자

양계장을 하다가 폭삭 망한 사람을 석자로 줄이면? (???)
알거지

‘죽이다’의 반대말은? (???)
밥이다

‘허수아비’의 반대말은? (????)
허수어미

‘딩동댕’의 반대는? (?)
땡

‘타자’의 반대말은? (??)
안타

‘보통’의 반대는? (???)
곱배기

‘천주교 신자가 일요일에 성당에서 보는 일’을 석자로 줄이면? (???)
미사일

‘아홉명의 자식들’을 세 글자로 줄이면? (???)
아이구

‘할머니의 마음’을 석 자로 줄이면? (???)
노파심

쌀밥에 보리차를 말아서 먹으면? (??)
혼식

전기가 나가면 집집마다 걸리는 비상은? (???)
초비상

쳐서 깨뜨리고 빨아 먹는 것은? (??)
계란

더러워야 내는 세금은? (???)
오물세

변호사는 말로 싸운다. 그러면 검사는 무엇으로 싸울까? (?)
칼

문제가 없으면 나도 없다고 하는 것은? (?)
답

눈 깜짝할 사이에 할 수 있는 일은? (??)
윙크

주먹으로 이기려는 사람에게 이기는 것은? (?)
보

돈을 벌려면 여기저기 불려다니며 불러야 하는 사람은? (??)
가수

도둑놈이 가장 하기 어려운 일은? (???)
도둑질

사각형이 분명한데 원이라고 하는 것은? (?)
돈

성경에 나타난 인류최초의 쓰레기는? (??)
사과

경마장에서 하는 장난은? (???)
말장난

개그맨들이 찾아서 헤메는 거리는? (????)
웃음거리

누구라도 쓸만한 것을 찾는 날은? (? ?? ?)
비 오는 날

실패하면 살고 성공하면 죽는 것은? (??)
자살

부모님이 물려주신 계산기는? (???)
손가락

1 더하기 1은? (??)
노동

2 더하기 2는? (??)
덧니

산토끼의 반대말은? (?? ??)
죽은 토끼

‘조금 전에 울다가 그친 사람’을 다섯 글자로 줄이면? (??? ??)
아까운사람

월급장이가 가장 좋아하는 일은? (??)
휴일

화장실에서 제일 먼저 하는 일은? (?? ???)
문을잠근다

이 세상에서 가장 큰 라면은? (??? ????)
바다가 육지라면

외할머니를 두 자로 줄이면? (??)
모모

요즘에도 집에 앉아서 공짜로 받을 수 있는 것은? (??)
전화

전축에 레코드를 올려 놓고 듣는 소리는? (???)
판소리

저 혼자 날고 기는 놈은? (??)
박쥐

우습게 봐줄수록 좋다고 하는 사람은? (????)
코미디언

흥부아저씨가 박을 탈 때, 쓴 힘은? (??)
박력

새발의 피로 팔자 고친 사람은? (??)
흥부

‘사람이란 다 때가 있는 법이다’하면서 찾아 가는 곳은? (???)
목욕탕

매일같이 가서 두드려도 들어오라는 소리를 못 들어보는 곳은? (???)
화장실

서울역은 어느 구로 들어갈까? (???)
개찰구

약은 아픈 몸에 쓴다. 좋은 말은 어디에 쓸까? (??)
경마

누가 차지해도 주저앉아 깔아 뭉개는 상은? (??)
걸상

야구선수가 수비하다가 잃어버린 책은? (??)
실책

운전사들이 주로 사용하는 재떨이는? (????)
아스팔트

시력이 좋은 사람도 눈 뜨고는 못보는 것은? (?)
꿈

무더운 여름날 물 한 방울 없어도 즐겁고 신나는 바다는? (????)
웃음바다

코끼리와 고래를 결혼시켜서 태어난 말은? (???)
거짓말

순전히 학생들의 재수로 돈 버는 곳은? (????)
재수학원

가장 싼 사냥도구는? (???)
파리채

에이 다음에 하는 소리는? (?)
비

찍어야만 먹고 사는 사람은? (???)
사진사

천자문의 첫자와 둘째 자의 차이는? (?? ??)
천지 차이

말과 행동이 다른 사람이 먹는 밥은? (????)
따로국밥

한심한 심판보다 다섯 배 한심한 심판은? (??? ??)
오심한심판

실없는 사람한테는 있으나 마나 한 것은? (??)
바늘

처음부터 끝까지 말다툼만 하는 곳은? (???)
경마장

건강한 사람이 피로해서 좋은 일은? (??)
헌혈

1천만 서울시민이 한 마디씩 하면? (??? ??)
천만의말씀