Auktorisera Social App Access med OAuth

October 8

Om du någonsin åt en Facebook-applikation som bad dig att granska en lista över behörigheter som ansökan begär och klicka sedan på OK, har du sett OAuth i aktion. Du kan använda OAuth på ditt företags sociala samarbetsverktyg på samma sätt.

OAuth skisserar en metod för att ge en applikation tillgång till en annan, med Usera € s medgivande. I synnerhet är det användaren som ger tillträde till något privat, såsom en e-postadress, affiniteter återspeglas i en social profil (saker omtyckt, grupper förenade), eller en samling av bilder.

Säg att du vill ge ett tryckeri åtkomst till dina bilder på Facebook eller annat foto-sharing webbplats för att skriva ut en egen kalender med din Kida € s bilder.

Processen går så här:

  1. Bemyndigande begärs.

    De ansökningar klientapplikations tillgång till en skyddad resurs. I exemplet ovan är klientprogrammet utskriftstjänst, och den skyddade resursen är bilderna på Facebook.
  2. Bemyndigandet bidraget returneras till klienten för godkännande.

    Användaren (du) ger åtkomst. Denna process förmedlas av sociala nätverk plattform, som ni förmodligen förtroende, i form av ett användargränssnitt som klargör vilka rättigheter du beviljar. Om du säger nej, stoppar processen.
  3. Bemyndigandet bidraget förmedlas till tillståndsserver.

    Klientprogrammet presenbidrags tillstånd som bevis för att det ska vara försedd med en åtkomsttoken, vilket är en nyckel som det kommer att kunna använda för att komma åt den skyddade resursen.
  4. Den åtkomsttoken returneras till klienten.

    Den sociala nätverksserver som ansvarar för att skydda din identitet verifierar att den digitala referens presenteras som bevis om bemyndigandet är legitimt och returnerar sedan en åtkomsttoken.
  5. Åtkomsttoken skickas till resursservern.

    Servern som ansvarar för den skyddade resursen (dina bilder) tar emot en åtkomsttoken (nyckeln) tillsammans med en särskild begäran tillgång.
  6. Resursen återförs till klientprogrammet.

    Först, validerar resursservern åtkomstnyckel. Om det kollar, får tryckeriet appen tillgång till dina bilder.

Efter att ha gått igenom processen en gång, kan klientprogrammet fortsätter att använda nyckeln du har gett det att låsa upp servern innehåller din skyddade resursen. Genom att bevilja tillgång, du € re säger att du litar på denna ansökan att agera för din räkning och inte mot dina intressen.

Herea € s en annan enkelt exempel: Om du ger en nättidning tillgång till din sociala profil så det kan visa dig mer av de artiklar som du tenderar att vilja, kommer det att kunna fortsätta att nå den mest aktuella versionen av din profil på efterföljande besök.

Åtkomsttoken kan ställas in för att löpa ut och kan återkallas, dock. När du tar bort ett program från din profil, du € re berätta den sociala plattform som tillgång token inte längre bör hedras.

Mycket debatt kvarstår om OAuth har den rätta balansen mellan säkerhet och användarvänlighet. När representanter för företagets IT-organisationer och deras leverantörer blev inblandad i att definiera OAuth 2.0, några webb purister klagade på att specifikationen blev onödigt komplicerat. Å andra sidan, var OAuth 2.0 för att vara lättare att genomföra än den tidigare versionen, och vissa säkerhetsspråkar orolig att det kan bli för lätt att hacka i processen.

OAuth kanske inte perfekt, men det har fått stor spridning som ett sätt att dela profildata och andra källor skyddade mellan program.