OAuth
OAuth
OAuth, abrégé de "Open Authorization", est un cadre standard qui permet aux applications tierces d'accéder au compte d'un utilisateur sans accéder aux identifiants de connexion de l'utilisateur. Il permet aux utilisateurs d'accorder un accès limité à leurs ressources sur un site à un autre site sans partager leurs mots de passe.
Comment fonctionne OAuth
OAuth fonctionne par une série d'étapes impliquant l'autorisation de l'utilisateur, l'échange de justificatifs d'identité et l'accès sécurisé aux ressources. Les principales étapes du processus OAuth sont les suivantes :
Autorisation de l'utilisateur : Lorsqu'un utilisateur tente d'accéder à un service via une application tierce, l'application demande la permission de l'utilisateur pour accéder à son compte. L'objectif est d'établir une confiance entre l'utilisateur, l'application tierce, et le fournisseur de services.
Octroi d'autorisation : Après avoir reçu la demande de permission, l'utilisateur s'authentifie auprès du fournisseur de services. Une fois authentifié, le fournisseur de services génère un octroi d'autorisation, qui représente le consentement de l'utilisateur pour que l'application tierce accède à ses ressources.
Échange de jetons : Une fois l'octroi d'autorisation en main, l'application tierce l'échange contre un jeton d'accès auprès du fournisseur de services. Ce jeton agit comme un justificatif d'identité permettant à l'application d'accéder aux ressources de l'utilisateur sur le service.
Accès aux ressources : Enfin, muni du jeton d'accès, l'application tierce peut désormais accéder aux ressources de l'utilisateur sur le service sans avoir besoin des identifiants de connexion de l'utilisateur. Le jeton d'accès fait office de preuve d'autorisation.
Concepts et composants clés d'OAuth
Clients et propriétaires de ressources
Dans le contexte d'OAuth, le terme Client se réfère à l'application tierce qui cherche à accéder au compte d'un utilisateur. Le Propriétaire de ressources est l'utilisateur qui possède les ressources que le client cherche à accéder. Le propriétaire de ressources doit explicitement accorder la permission au client avant que l'accès ne soit accordé.
Serveur d'autorisation et serveur de ressources
Le Serveur d'autorisation est responsable de l'authentification de l'utilisateur et de l'émission de l'octroi d'autorisation. Il agit comme un intermédiaire de confiance entre le client et le propriétaire de ressources. Le Serveur de ressources, en revanche, héberge et gère les ressources de l'utilisateur. Il vérifie le jeton d'accès fourni par le client et accorde ou refuse l'accès en conséquence.
Types d'octroi d'autorisation
OAuth prend en charge divers types d'octroi d'autorisation pour répondre à différentes situations et exigences de sécurité. Quelques types d'octroi couramment utilisés incluent :
Code d'autorisation : Ce type d'octroi est généralement utilisé par les applications web pour obtenir un jeton d'accès. Le client redirige d'abord l'utilisateur vers le serveur d'autorisation, où l'utilisateur se connecte et donne son consentement. Le serveur d'autorisation retourne ensuite un code d'autorisation au client, qui est échangé contre un jeton d'accès.
Implicite : Ce type d'octroi est adapté aux applications basées sur des navigateurs ou des applications mobiles. Le jeton d'accès est obtenu directement auprès du serveur d'autorisation, sans avoir besoin d'un code d'autorisation.
Informations d'identification du client : Ce type d'octroi est utilisé lorsque le client agit en son propre nom, plutôt qu'au nom d'un propriétaire de ressources. Il permet au client d'échanger directement ses propres informations d'identification (comme un ID client et un secret client) contre un jeton d'accès.
Bonnes pratiques et conseils de prévention pour OAuth
Pour assurer la sécurité et la confidentialité de vos comptes lors de l'utilisation d'OAuth, il est important de suivre les bonnes pratiques et de prendre des mesures préventives. Quelques conseils à prendre en compte incluent :
Soyez sélectif : Autorisez uniquement des applications tierces réputées et fiables à accéder à vos comptes. Consultez les avis et les évaluations avant d'accorder des permissions.
Vérifiez les permissions : Passez régulièrement en revue les permissions accordées aux applications tierces que vous n'utilisez plus ou dont vous n'avez plus besoin. Révoquez les permissions pour les applications auxquelles vous ne faites plus confiance ou dont vous n'avez plus besoin.
Utilisez l'authentification à deux facteurs : Implémentez l'authentification à deux facteurs pour une couche de sécurité supplémentaire. Cela nécessite que les utilisateurs fournissent une information supplémentaire, comme un code de vérification, en plus de leur mot de passe pour accéder à leurs comptes.
Restez informé : Restez informé des dernières alertes de sécurité et actualités concernant les vulnérabilités et les bonnes pratiques OAuth. Être conscient des risques potentiels et des mesures de sécurité peut vous aider à prendre des décisions éclairées et à protéger vos comptes.
Termes connexes
Code d'autorisation : Un type d'octroi OAuth utilisé par les applications web pour échanger un code d'autorisation contre un jeton d'accès.
Jeton d'accès : Un justificatif utilisé par une application pour accéder aux ressources d'un utilisateur, obtenu via OAuth.
OAuth 2.0 : Une version mise à jour d'OAuth, offrant un cadre plus sécurisé et flexible pour l'autorisation.
Références
- OAuth 2.0 - IETF. (n.d.). Récupéré de https://tools.ietf.org/html/rfc6749
- Authorization Code Grant vs Implicit Grant in OAuth 2.0 - OAuth.com (2020). Récupéré de https://www.oauth.com/oauth2-servers/authorization/the-authorization-response/
- Preventing OAuth Phishing Attacks - Google Developers (n.d.) Récupéré de https://developers.google.com/identity/protocols/oauth2/user-credentials