Опубликовано: 02.10.2026 | Источник: CNews (новости)

Федеративная аутентификация через «Газпром ID» в ВКР: безопасность и метрики SSO

26 марта 2026 года «Золотое яблоко» подключило «Газпром ID» как один из способов входа на сайт и в мобильное приложение. Для бьюти-ретейлера это не маркетинговый «плюс кнопки», а переход от собственной учётной записи к модели федеративной идентичности: клиент проходит аутентификацию у внешнего Identity Provider (IdP), а ретейлер получает подтверждённый идентификатор и минимально необходимые атрибуты. Для выпускника направления «Информационная безопасность», «Прикладная информатика» или «Программная инженерия» это готовый полигон: OAuth 2.0, OpenID Connect, JWT, DPIA, оценка уровня доверия. В статье разберём, как превратить новость в защищаемую ВКР, какие метрики считать и где чаще всего «сыпятся» дипломники.

Частые вопросы до старта

Темы ВКР, которые выстрелят на защите

• «Проектирование и оценка безопасности федеративной аутентификации для e-commerce на базе OpenID Connect»
  Актуальность: кейс «Золотого яблока» и «Газпром ID» показывают массовый переход ретейлеров к внешним IdP.
  Цель: разработать интеграционный модуль SSO и методику оценки его защищённости.
  Задачи: 1) анализ OIDC/OAuth 2.0 и угроз (OWASP ASVS V2); 2) проектирование архитектуры по C4; 3) реализация на sidecar/backend-for-frontend; 4) пентест-сценарии (PKCE, state, nonce, redirect_uri) и метрики.
  Структура: Гл.1 — теория и модели угроз; Гл.2 — проектирование и код; Гл.3 — тестирование и метрики безопасности.
• «Оценка TCO и эксплуатационных метрик перехода с собственной аутентификации на внешний IdP»
  Актуальность: ретейлеры считают экономию на поддержке паролей, helpdesk и SMS-OTP.
  Цель: построить модель TCO и набор SLO для SSO.
  Задачи: 1) анализ затрат «as-is»; 2) модель «to-be» с внешним IdP; 3) расчёт SLO/error budget; 4) симуляция нагрузки и отчёт.
  Структура: Гл.1 — обзор рынка и стандартов; Гл.2 — модель и дашборд; Гл.3 — расчёты и выводы.
• «Управление согласиями (consent) и приватностью при SSO-интеграции»
  Актуальность: 152-ФЗ и требования к обработке ПДн при обмене атрибутами с внешним IdP.
  Цель: спроектировать consent-сервис и политику минимизации атрибутов.
  Задачи: 1) классификация атрибутов; 2) модель угроз приватности; 3) реализация consent-UI и аудита; 4) проверка на утечки через логи.
  Структура: Гл.1 — право и стандарты; Гл.2 — проектирование и реализация; Гл.3 — тестирование и метрики приватности.

Как встроить материал статьи в главы ВКР

Глава 1. Аналитика: от новости к постановке задачи

Не пересказывайте пресс-релиз — превращайте его в источник требований. Начните с карты стейкхолдеров: клиент, ретейлер, IdP «Газпром ID», регулятор. Сформулируйте три сценария: первичный вход, повторный вход (silent SSO по refresh token), выход из всех сессий (federated logout). Постройте C4 Context-диаграмму: браузер, BFF ретейлера, IdP, consent-хранилище, SIEM. Затем — модель угроз STRIDE: у «Золотого яблока» ключевые риски — перехват authorization code, подмена redirect_uri, replay ID token, избыточные scopes при маппинге атрибутов.

Глава 2. Проектирование и реализация

Здесь уместны UML Sequence Diagram для Authorization Code Flow + PKCE и код обработчика callback на стороне backend-for-frontend. Ключевые проверки: state, nonce, подпись JWT, aud и iss, срок действия. Ниже — минимальный псевдокод проверки ID token:

def verify_id_token(id_token, jwks, expected_aud, expected_iss):
    header = jwt.get_unverified_header(id_token)
    key = jwks.get(header["kid"])
    if key is None:
        raise InvalidToken("unknown kid")
    claims = jwt.decode(
        id_token, key,
        algorithms=["RS256"],
        audience=expected_aud,
        issuer=expected_iss,
        options={"require": ["exp", "iat", "sub", "nonce"]},
    )
    if claims["nonce"] != session.pop_nonce():
        raise InvalidToken("nonce mismatch")
    return claims["sub"]

Архитектурно держите токены в backend (BFF), а не в localStorage фронтенда. Access token — короткоживущий (5–15 минут), refresh — rotated и привязан к device fingerprint. Сессии — в Redis с TTL и возможностью принудительного отзыва.

Глава 3. Тестирование и метрики

Снимайте метрики через OpenTelemetry: спаны на /authorize, /token, /userinfo, атрибуты idp.name, error_code. Проверяйте по OWASP ASVS раздел V2 (Authentication) и V3 (Session Management). Обязательные тесты: CSRF на callback, открытый redirect, доступ с истёкшим ID token, повторное использование authorization code.

Чему вы научитесь

• Проектировать OIDC-интеграцию по C4 и UML Sequence.
• Валидировать JWT и реализовывать PKCE, state, nonce на backend.
• Оценивать защищённость по OWASP ASVS и метрикам SIEM.
• Считать TCO и SLO для сервиса аутентификации.
• Оформлять схемы по ГОСТ 19.701 и пояснительную записку по ГОСТ 34.601.

Источник: «Золотое яблоко» упростило вход для покупателей благодаря «Газпром ID» (опубликовано 2026-03-26)