Autorización de EDS
- Introducción
- Proceso de autorización
- Tokens 3.0: multiusuario frente a usuario único
- ¿EDS admite varios usuarios?
Introducción
Entertainment Discovery Services (EDS) 3.1 no admitirá tráfico anónimo. Se requiere autenticación para todas las solicitudes a EDS. EDS requerirá un XToken de los autores de las llamadas para autenticar correctamente a los clientes. Estos tokens los genera XSTS y se pueden obtener a través de varios servicios de autenticación de XBOX (XAS). Existen servicios de autenticación independientes para dispositivos, usuarios y títulos, que definen la identidad del token. XSTS es el guardián de acceso de XBOX LIVE. Es la primera línea de defensa para determinar si un usuario o dispositivo está autorizado a conectarse a cualquiera de los servicios de XBOX LIVE. Tras autenticar al usuario, XSTS genera un XToken que puede usarse para identificarse de forma segura ante cualquier componente del servicio. Este XToken es su pasaporte a LIVE. Personas y cosas quieren usar nuestros servicios. Y queremos que la mayoría de esas cosas y personas puedan usar nuestros servicios. Pero ¿cómo nos aseguramos de que las cosas no se hagan pasar por personas y de que las personas son realmente quienes dicen ser? Les proporcionamos tokens que pueden usar para identificarse ante los demás. Estos tokens los genera XSTS y se conocen generalmente como XTokens. XToken es un término amplio que se usa para abarcar tokens que contienen una variedad de elementos diferentes y pueden adoptar muchas formas distintas, pero todos ellos los crea, firma y, opcionalmente, cifra el servidor XSTS. Internamente, XSTS usa MXAN para crear y dar formato a los tokens. MXAN es el único componente que extrae información de un XToken. Los servicios que consumen los tokens pasan los encabezados de solicitud a MXAN para que los descifre. Los tokens se procesan y validan, y las notificaciones expresadas en el token se devuelven al servicio. El servicio puede entonces usar estos valores de notificación para identificar al usuario o dispositivo que realiza la llamada y llevar a cabo acciones basadas en esa información. Los tokens de identidad básicos (para usuario, dispositivo y título) los proporcionan los servicios de autenticación de XBOX (XAS). Cada XAS es responsable de generar un token de identidad que especifica valores para las diversas notificaciones de las que es responsable.- XASD (XAS para dispositivos): crea un DToken que proporciona una identidad de dispositivo
- XASU (XAS para usuarios): crea un UToken que proporciona una identidad de usuario
- XAST (XAS para títulos): crea un TToken que proporciona una identidad de título
Proceso de autorización
-
Obtenga uno o varios tokens de identidad. Puede solicitar un XToken con, como máximo, un token D, uno U y uno T. Debe proporcionar al menos uno de D o U.
- Solicite un DToken a XASD proporcionando los detalles de autenticación del dispositivo
- Solicite un UToken a XASU con algún tipo de autenticación de usuario. La autenticación de usuario probablemente se proporcione en forma de token de MSA (RPS).
- Solicite un TToken a XAST. Los títulos disponibles dependen de la plataforma en ejecución, por lo que también debe proporcionar un DToken a XAST.
-
Cree una solicitud XSTS.
- Defina el usuario de confianza para el que solicita un token.
- Rellene las propiedades de la solicitud con los tokens D, U o T.
- Ejecute la solicitud XSTS y almacene en caché el XToken resultante. El XToken devuelto contiene (como máximo) toda la información de identidad de dispositivo, usuario y título de los tokens de identidad y cualquier notificación adicional (estado actual de la suscripción, grupos de usuarios, etc.).
Tokens 3.0: multiusuario frente a usuario único
Esta es la forma del token 3.0:XBL3.0 x=<hash>;<token>
Según el <hash>, el token se trata de forma diferente:
- Si <hash> es igual a * (asterisco), ningún usuario en particular realiza la solicitud y todos los usuarios del token están presentes en la entidad de seguridad deserializada. Esta es la verdadera forma multiusuario.
- Si <hash> es igual a - (guion), ningún usuario realiza la solicitud. Los usuarios presentes en la entidad de seguridad deserializada se eliminan.
- Si <hash> no es igual a * ni a -, es un identificador que indica qué usuario del token realiza la solicitud. Solo el usuario indicado estará presente en la entidad de seguridad deserializada. Todos los demás usuarios se eliminan. Este es el token 3.0 de usuario único.
¿EDS admite varios usuarios?
- La respuesta es no. En el caso descrito, la consola siempre enviará tokens de usuario único. Aunque haya varios usuarios con sesión iniciada, debe haber un “autor de llamada” indicado, y todas las demás identidades se descartan.