OAuth
OAuth
OAuth, lyhenne sanoista "Open Authorization", on standardikehys, joka mahdollistaa kolmannen osapuolen sovellusten pääsyn käyttäjän tilille ilman, että niille annetaan käyttäjän kirjautumistietoja. Se antaa käyttäjille mahdollisuuden myöntää rajatun pääsyn resursseihinsa yhdellä sivustolla toiselle sivustolle jakamatta salasanojaan.
Kuinka OAuth Toimii
OAuth toimii useiden vaiheiden kautta, joihin kuuluvat käyttäjän valtuutus, tunnistetietojen vaihto ja resurssien turvallinen käyttö. Tärkeimmät vaiheet OAuth-prosessissa ovat seuraavat:
Käyttäjän Valtuutus: Kun käyttäjä yrittää käyttää palvelua kolmannen osapuolen sovelluksen kautta, sovellus pyytää käyttäjän lupaa päästä heidän tililleen. Tavoitteena on luoda luottamus käyttäjän, kolmannen osapuolen sovelluksen ja palveluntarjoajan välille.
Valtuutuslupa: Kun lupa on pyydetty, käyttäjä todentaa itsensä palveluntarjoajan kanssa. Kun käyttäjä on todennettu, palveluntarjoaja luo valtuutusluvan, joka edustaa käyttäjän suostumusta kolmannen osapuolen sovelluksen päästä heidän resursseihinsa.
Tunnuksen Vaihto: Valtuutusluvan saatuaan kolmannen osapuolen sovellus vaihtaa sen palveluntarjoajalta saatuun käyttöoikeustunnukseen. Tämä tunnus toimii tunnisteena, joka sallii sovelluksen käyttää käyttäjän resursseja palvelussa.
Resurssien Käyttö: Lopuksi, käyttöoikeustunnuksen avulla kolmannen osapuolen sovellus voi nyt käyttää käyttäjän resursseja palvelussa tarvitsematta käyttäjän kirjautumistietoja. Käyttöoikeustunnus toimii valtuutuksen todistuksena.
OAuthin Keskeiset Käsitteet ja Komponentit
Asiakkaat ja Resurssien Omistajat
OAuthin yhteydessä termillä Asiakas viitataan kolmannen osapuolen sovellukseen, joka hakee pääsyä käyttäjän tilille. Resurssien Omistaja on käyttäjä, jolla on ne resurssit, joihin asiakas haluaa päästä. Resurssien omistajan on annettava nimenomainen lupa asiakkaalle ennen kuin pääsy myönnetään.
Valtuutuspalvelin ja Resurssipalvelin
Valtuutuspalvelin vastaa käyttäjän todentamisesta ja valtuutusluvan myöntämisestä. Se toimii luotettuna välittäjänä asiakkaan ja resurssien omistajan välillä. Resurssipalvelin puolestaan ylläpitää ja hallinnoi käyttäjän resursseja. Se tarkistaa asiakkaan antaman käyttöoikeustunnuksen ja myöntää tai epää pääsyn sen mukaan.
Valtuutusluvatyypit
OAuth tukee erilaisia valtuutusluvatyyppejä eri tilanteisiin ja turvallisuusvaatimuksiin sopiviksi. Joitakin yleisesti käytettyjä luokatyyppiä ovat:
Valtuutuskoodi: Tämä luokatyyppi käytetään tyypillisesti verkkosovelluksissa käyttöoikeustunnuksen hankkimiseksi. Asiakas ohjaa ensin käyttäjän valtuutuspalvelimelle, missä käyttäjä kirjautuu sisään ja antaa suostumuksensa. Valtuutuspalvelin palauttaa sitten valtuutuskoodin asiakkaalle, joka vaihdetaan käyttöoikeustunnukseen.
Epäsuora: Tämä luokatyyppi sopii selainpohjaisille tai mobiilisovelluksille. Käyttöoikeustunnus saadaan suoraan valtuutuspalvelimelta ilman valtuutuskoodia.
Asiakastiedot: Tämä luokatyyppi käytetään, kun asiakas toimii omasta puolestaan eikä resurssiomistajan puolesta. Se antaa asiakkaan vaihtaa omat tietonsa (kuten asiakkaan ID ja asiakkaan salaisuus) suoraan käyttöoikeustunnukseen.
Parhaat Käytännöt ja Ennaltaehkäisyvinkit OAuthille
Kun käytät OAuthia, on tärkeää noudattaa parhaita käytäntöjä ja ryhtyä ennaltaehkäiseviin toimenpiteisiin tilien turvallisuuden ja yksityisyyden varmistamiseksi. Joitakin huomioitavia vinkkejä ovat:
Ole Valikoiva: Anna valtuutukset vain arvostetuille ja luotettaville kolmannen osapuolen sovelluksille käyttää tilejäsi. Tarkista arvostelut ja arviot ennen käyttöoikeuksien antamista.
Tarkista Käyttöoikeudet: Arvioi säännöllisesti kolmannen osapuolen sovelluksille myönnettyjä käyttöoikeuksia, joita et enää käytä tai tarvitse. Peru käyttöoikeudet sovelluksilta, joihin et enää luota tai jotka eivät enää vaadi pääsyä.
Käytä Kaksivaiheista Todentamista: Ota käyttöön kaksivaiheinen todentaminen lisäturvakerroksena. Tämä edellyttää, että käyttäjien on annettava lisätieto, kuten vahvistuskoodi, salasanan lisäksi päästäkseen tileilleen.
Pysy Informoituna: Pysy ajan tasalla uusimmista turvallisuusvaroituksista ja uutisista OAuth-haavoittuvuuksista ja parhaista käytännöistä. Ollessasi tietoinen mahdollisista riskeistä ja turvatoimista voit tehdä harkittuja päätöksiä ja suojata tilisi.
Liittyvät Termit
Authorization Code: OAuth-luokatyyppi, jota verkkosovellukset käyttävät valtuutuskoodin vaihtamiseen käyttöoikeustunnukseen.
Access Token: Tunniste, jota sovellus käyttää päästäkseen käyttäjän resursseihin, hankittu OAuthin kautta.
OAuth 2.0: OAuthin päivitetty versio, joka tarjoaa turvallisemman ja joustavamman valtuutuskehyksen.
Viitteet
- OAuth 2.0 - IETF. (n.d.). Haettu osoitteesta https://tools.ietf.org/html/rfc6749
- Authorization Code Grant vs Implicit Grant in OAuth 2.0 - OAuth.com (2020). Haettu osoitteesta https://www.oauth.com/oauth2-servers/authorization/the-authorization-response/
- Preventing OAuth Phishing Attacks - Google Developers (n.d.) Haettu osoitteesta https://developers.google.com/identity/protocols/oauth2/user-credentials