OAuth
OAuth
OAuth, abréviation de "Open Authorization," est un cadre standard qui permet aux applications tierces d'accéder au compte d'un utilisateur sans avoir accès aux identifiants de connexion de l'utilisateur. Cela permet aux utilisateurs d'accorder un accès limité à leurs ressources sur un site à un autre site sans partager leurs mots de passe.
Comment fonctionne OAuth
OAuth fonctionne à travers une série d'étapes impliquant l'autorisation de l'utilisateur, l'échange de justificatifs, et l'accès sécurisé aux ressources. Les principales étapes du processus OAuth sont les suivantes :
Autorisation de l'utilisateur : Lorsqu'un utilisateur tente d'accéder à un service via une application tierce, l'application demande la permission de l'utilisateur pour accéder à son compte. L'objectif est d'établir la confiance entre l'utilisateur, l'application tierce, et le fournisseur de service.
Consentement d'autorisation : Après réception de la demande de permission, l'utilisateur s'authentifie auprès du fournisseur de service. Une fois authentifié, le fournisseur de service génère un consentement d'autorisation, qui représente le consentement de l'utilisateur pour que l'application tierce accède à ses ressources.
Échange de jetons : Avec le consentement d'autorisation en main, l'application tierce l'échange contre un jeton d'accès du fournisseur de service. Ce jeton agit comme un justificatif qui permet à l'application d'accéder aux ressources de l'utilisateur sur le service.
Accès aux ressources : Enfin, muni du jeton d'accès, l'application tierce peut maintenant accéder aux ressources de l'utilisateur sur le service sans avoir besoin des identifiants de connexion de l'utilisateur. Le jeton d'accès sert de preuve d'autorisation.
Principaux concepts et composants de OAuth
Clients et propriétaires de ressources
Dans le contexte de OAuth, le terme Client se réfère à l'application tierce qui cherche à accéder au compte d'un utilisateur. Le Propriétaire de la ressource est l'utilisateur qui possède les ressources que le client souhaite accéder. Le propriétaire de la ressource doit explicitement accorder la permission au client avant que l'accès soit accordé.
Serveur d'autorisation et serveur de ressources
Le Serveur d'autorisation est responsable de l'authentification de l'utilisateur et de l'émission du consentement d'autorisation. Il agit comme un intermédiaire de confiance entre le client et le propriétaire de la ressource. Le Serveur de ressources, quant à lui, héberge et gère les ressources de l'utilisateur. Il vérifie le jeton d'accès fourni par le client et accorde ou refuse l'accès en conséquence.
Types de consentement d'autorisation
OAuth prend en charge divers types de consentement d'autorisation pour répondre à différents scénarios et exigences de sécurité. Certains types de consentements communs incluent :
Code d'autorisation : Ce type de consentement est généralement utilisé par les applications web pour obtenir un jeton d'accès. Le client redirige d'abord l'utilisateur vers le serveur d'autorisation, où l'utilisateur se connecte et accorde son consentement. Le serveur d'autorisation renvoie ensuite un code d'autorisation au client, qui est échangé contre un jeton d'accès.
Implicite : Ce type de consentement est adapté aux applications basées sur un navigateur ou mobiles. Le jeton d'accès est obtenu directement du serveur d'autorisation, sans nécessiter un code d'autorisation.
Identifiants client : Ce type de consentement est utilisé lorsque le client agit en son propre nom, plutôt qu'au nom d'un propriétaire de ressource. Il permet au client d'échanger directement ses propres justificatifs (tels qu'un ID client et un secret client) contre un jeton d'accès.
Bonnes pratiques et conseils de prévention pour OAuth
Pour assurer la sécurité et la confidentialité de vos comptes lors de l'utilisation de OAuth, il est important de suivre de bonnes pratiques et de prendre des mesures préventives. Quelques conseils à considérer incluent :
Être sélectif : N'autorisez que des applications tierces réputées et dignes de confiance à accéder à vos comptes. Vérifiez les avis et les évaluations avant d'accorder les permissions.
Revoir les autorisations : Examinez régulièrement les autorisations accordées aux applications tierces que vous n'utilisez plus ou dont vous n'avez plus besoin. Révoquez les autorisations pour les applications auxquelles vous ne faites plus confiance ou dont vous n'avez plus besoin d'accès.
Utiliser l'authentification à deux facteurs : Mettez en place l'authentification à deux facteurs pour une couche de sécurité supplémentaire. Cela exige que les utilisateurs fournissent une information supplémentaire, telle qu'un code de vérification, en plus de leur mot de passe pour accéder à leurs comptes.
Rester informé : Restez à jour avec les dernières alertes de sécurité et nouvelles sur les vulnérabilités OAuth et les meilleures pratiques. Être conscient des risques potentiels et des mesures de sécurité peut vous aider à prendre des décisions éclairées et à protéger vos comptes.
Termes connexes
Code d'autorisation : Un type de consentement OAuth utilisé par les applications web pour échanger un code d'autorisation contre un jeton d'accès.
Jeton d'accès : Un justificatif utilisé par une application pour accéder aux ressources d'un utilisateur, obtenu via OAuth.
OAuth 2.0 : Une version mise à jour de OAuth, offrant un cadre plus sécurisé et flexible pour l'autorisation.
Références
- OAuth 2.0 - IETF. (s.d.). Consulté à l'adresse https://tools.ietf.org/html/rfc6749
- Authorization Code Grant vs Implicit Grant in OAuth 2.0 - OAuth.com (2020). Consulté à l'adresse https://www.oauth.com/oauth2-servers/authorization/the-authorization-response/
- Preventing OAuth Phishing Attacks - Google Developers (s.d.) Consulté à l'adresse https://developers.google.com/identity/protocols/oauth2/user-credentials