OAuth

OAuth

OAuth, abreviação de "Open Authorization" (Autorização Aberta), é uma estrutura padrão que permite que aplicativos de terceiros acessem a conta de um usuário sem obter suas credenciais de login. Ele permite que os usuários concedam acesso limitado a seus recursos em um site para outro site sem compartilhar suas senhas.

Como o OAuth Funciona

O OAuth opera por meio de uma série de etapas que envolvem a autorização do usuário, a troca de credenciais e o acesso seguro aos recursos. As principais etapas envolvidas no processo OAuth são as seguintes:

1. Autorização do Usuário: Quando um usuário tenta acessar um serviço através de um aplicativo de terceiros, o aplicativo solicita permissão ao usuário para acessar sua conta. O objetivo é estabelecer confiança entre o usuário, o aplicativo de terceiros e o provedor de serviços.

2. Concessão de Autorização: Ao receber o pedido de permissão, o usuário se autentica com o provedor de serviços. Uma vez autenticado, o provedor de serviços gera uma concessão de autorização, que representa o consentimento do usuário para que o aplicativo de terceiros acesse seus recursos.

3. Troca de Tokens: Com a concessão de autorização em mãos, o aplicativo de terceiros a troca por um token de acesso do provedor de serviços. Este token atua como uma credencial que permite ao aplicativo acessar os recursos do usuário no serviço.

4. Acesso aos Recursos: Finalmente, de posse do token de acesso, o aplicativo de terceiros pode agora acessar os recursos do usuário no serviço sem precisar das credenciais de login do usuário. O token de acesso atua como prova de autorização.

Conceitos e Componentes Chave do OAuth

Clientes e Proprietários de Recursos

No contexto do OAuth, o termo Cliente refere-se ao aplicativo de terceiros que busca acesso à conta de um usuário. O Proprietário de Recursos é o usuário que possui os recursos que o cliente busca acessar. O proprietário dos recursos deve conceder explicitamente permissão ao cliente antes que o acesso seja concedido.

Servidor de Autorização e Servidor de Recursos

O Servidor de Autorização é responsável por autenticar o usuário e emitir a concessão de autorização. Ele atua como um intermediário confiável entre o cliente e o proprietário dos recursos. O Servidor de Recursos, por outro lado, hospeda e gerencia os recursos do usuário. Ele verifica o token de acesso fornecido pelo cliente e concede ou nega acesso conforme apropriado.

Tipos de Concessão de Autorização

O OAuth suporta vários tipos de concessão de autorização para atender a diferentes cenários e requisitos de segurança. Alguns tipos de concessão comumente usados incluem:

• Código de Autorização: Este tipo de concessão é tipicamente usado por aplicativos web para obter um token de acesso. O cliente primeiro redireciona o usuário para o servidor de autorização, onde o usuário faz login e concede consentimento. O servidor de autorização então retorna um código de autorização ao cliente, que é trocado por um token de acesso.

• Implícito: Este tipo de concessão é adequado para aplicativos baseados em navegador ou móveis. O token de acesso é obtido diretamente do servidor de autorização, sem a necessidade de um código de autorização.

• Credenciais do Cliente: Este tipo de concessão é usado quando o cliente está agindo por conta própria, em vez de em nome de um proprietário de recursos. Ele permite que o cliente troque diretamente suas próprias credenciais (como uma ID de cliente e segredo do cliente) por um token de acesso.

Melhores Práticas e Dicas de Prevenção para OAuth

Para garantir a segurança e privacidade de suas contas ao usar OAuth, é importante seguir as melhores práticas e tomar medidas preventivas. Algumas dicas a considerar incluem:

• Seja Seletivo: Apenas autorize aplicativos de terceiros reputados e confiáveis a acessar suas contas. Verifique as avaliações e classificações antes de conceder permissões.

• Revise Permissões: Revise regularmente as permissões concedidas a aplicativos de terceiros que você não usa mais ou não precisa. Revogue permissões para aplicativos nos quais você não confia mais ou que não necessitam mais de acesso.

• Use Autenticação de Dois Fatores: Implemente a autenticação de dois fatores para uma camada adicional de segurança. Isso exige que os usuários forneçam uma peça adicional de informação, como um código de verificação, junto com sua senha para acessar suas contas.

• Mantenha-se Informado: Mantenha-se atualizado com os últimos alertas de segurança e notícias sobre vulnerabilidades e melhores práticas do OAuth. Estar ciente dos riscos potenciais e das medidas de segurança pode ajudá-lo a tomar decisões informadas e proteger suas contas.

Termos Relacionados

• Código de Autorização: Um tipo de concessão OAuth usado por aplicativos web para trocar um código de autorização por um token de acesso.

• Token de Acesso: Uma credencial usada por um aplicativo para acessar os recursos de um usuário, obtida através do OAuth.

• OAuth 2.0: Uma versão atualizada do OAuth, proporcionando uma estrutura mais segura e flexível para autorização.

Referências

1. OAuth 2.0 - IETF. (n.d.). Recuperado de https://tools.ietf.org/html/rfc6749
2. Authorization Code Grant vs Implicit Grant in OAuth 2.0 - OAuth.com (2020). Recuperado de https://www.oauth.com/oauth2-servers/authorization/the-authorization-response/
3. Preventing OAuth Phishing Attacks - Google Developers (n.d.) Recuperado de https://developers.google.com/identity/protocols/oauth2/user-credentials