Apa sebenarnya OAuth (Open Authorization)?
Saya telah mendapatkan beberapa informasi dari
Tetapi saya ingin belajar dan tahu lebih banyak. Saya mencari info tentang siklus hidup. Mengapa sebagian besar jejaring sosial bergantung pada protokol terbuka ini?
Apakah akan menjadi de facto dalam waktu dekat dengan berbagai teknologi (mis. ASP.NET)?
Jawaban:
Apa sebenarnya OAuth (Open Authorization)?
OAuth memungkinkan memberi tahu penyedia sumber daya (misalnya Facebook) bahwa pemilik sumber daya (misalnya Anda) memberikan izin kepada pihak ketiga (misalnya Aplikasi Facebook) untuk mengakses informasi mereka (misalnya daftar teman Anda).
Jika Anda membacanya dinyatakan dengan jelas, saya akan mengerti kebingungan Anda. Jadi mari kita pergi dengan contoh nyata: bergabung dengan jejaring sosial lain!
Katakanlah Anda memiliki akun GMail yang ada. Anda memutuskan untuk bergabung dengan LinkedIn. Menambahkan semua teman Anda , banyak teman secara manual melelahkan dan rawan kesalahan. Anda mungkin muak setengah jalan atau memasukkan kesalahan ketik di alamat surel mereka untuk undangan. Jadi, Anda mungkin tergoda untuk tidak membuat akun.
Menghadapi situasi ini, LinkedIn memiliki Good Idea (TM) untuk menulis sebuah program yang menambahkan daftar teman Anda secara otomatis karena komputer jauh lebih efisien dan efektif untuk tugas yang melelahkan dan rawan kesalahan. Karena bergabung dengan jaringan sekarang sangat mudah, tidak mungkin Anda menolak tawaran seperti itu, bukan?
Tanpa API untuk bertukar daftar kontak ini, Anda harus memberi LinkedIn nama pengguna dan kata sandi ke akun GMail Anda, sehingga memberi mereka terlalu banyak kekuatan .
Di sinilah OAuth masuk. Jika GMail Anda mendukung protokol OAuth, maka LinkedIn dapat meminta Anda untuk memberi otorisasi kepada mereka untuk mengakses daftar kontak GMail Anda.
OAuth memungkinkan untuk:
Apakah ini akan menjadi de facto (standar?) Dalam waktu dekat?
Yah, meskipun OAuth adalah langkah maju yang signifikan, itu tidak menyelesaikan masalah jika orang tidak menggunakannya dengan benar. Misalnya, jika penyedia sumber daya hanya memberikan satu tingkat akses baca-tulis ke semua sumber daya Anda sekaligus dan tidak menyediakan mekanisme untuk mengelola akses, maka tidak ada gunanya. Dengan kata lain, OAuth adalah kerangka kerja untuk menyediakan fungsionalitas otorisasi dan bukan hanya otentikasi.
Dalam praktiknya, ini sangat cocok dengan model jaringan sosial. Ini sangat populer untuk jejaring sosial yang ingin mengizinkan "plugin" pihak ketiga. Ini adalah area di mana akses ke sumber daya secara inheren diperlukan dan juga inheren tidak dapat diandalkan (yaitu Anda memiliki sedikit atau tidak ada kontrol kualitas atas aplikasi tersebut).
Saya belum melihat banyak kegunaan lain di alam liar. Maksudku, aku tidak tahu dari sebuah perusahaan nasihat keuangan online yang akan mengakses catatan bank Anda secara otomatis, meskipun bisa secara teknis digunakan seperti itu.
Apa itu oAuth?
OAuth hanyalah protokol otorisasi aman yang berkaitan dengan otorisasi aplikasi pihak ketiga untuk mengakses data pengguna tanpa memaparkan kata sandi mereka. misalnya. (Masuk dengan fb, gPlus, twitter di banyak situs web ..) semua berfungsi di bawah protokol ini.
Pihak yang terlibat
Protokol menjadi lebih mudah ketika Anda mengetahui pihak-pihak yang terlibat. Pada dasarnya ada tiga pihak yang terlibat: Penyedia Kebenaran, Klien dan Pemilik Kebenaran.
Bagaimana itu bekerja?
Saya menduga skenario di mana situs web (stackoverflow) perlu menambahkan login dengan fitur facebook. Dengan demikian facebook adalah Penyedia oAuth dan stackoverflow adalah oAuth Client.
Langkah ini dilakukan oleh pengembang aplikasi . Pada mulanya facebook (Penyedia oAuth) tidak tahu tentang stackoverflow (oAuth Client) karena tidak ada tautan di antara mereka. Jadi langkah pertama adalah mendaftar stackoverflow dengan situs pengembang facebook . Ini dilakukan secara manual di mana pengembang perlu memberikan informasi aplikasi ke Facebook seperti nama aplikasi, situs web, logo, redirect Url (yang penting). Kemudian stackoverflow berhasil didaftarkan, mendapat ID klien, rahasia klien dll dari facebook dan aktif dengan OAUTH .
2. Sekarang ketika pengguna stackoverflow mengklik login dengan tombol fb . Stackoverflow meminta facebook dengan ClientId (fb menggunakannya untuk mengenali klien) dan redirectUrl (fb akan kembali ke url ini setelah berhasil). Oleh karena itu pengguna akan diarahkan ke halaman login facebook. Ini adalah bagian pengguna terbaik (pemilik) tidak memberikan kredensial facebook mereka ke stackoverflow.
Untuk lebih:
Sederhananya OAuth adalah cara bagi aplikasi untuk mendapatkan kredensial ke informasi Anda tanpa secara langsung mendapatkan informasi login pengguna Anda ke beberapa situs web. Misalnya jika Anda menulis aplikasi di situs web Anda sendiri dan ingin menggunakan data dari akun facebook pengguna, Anda dapat menggunakan OAuth untuk mendapatkan token melalui url panggilan balik dan kemudian menggunakan token itu untuk melakukan panggilan ke API facebook untuk mendapatkan mereka gunakan data sampai token berakhir. Situs web mengandalkannya karena memungkinkan pemrogram mengakses data mereka tanpa pengguna harus secara langsung mengungkapkan informasi mereka dan menyebarkan kredensial mereka di internet, tetapi tetap memberikan tingkat perlindungan terhadap data tersebut. Apakah ini akan menjadi metode otorisasi de facto? Mungkin, telah mendapatkan banyak dukungan baru-baru ini dari Twitter, Facebook,
Oauth jelas mendapatkan momentum dan menjadi populer di antara API perusahaan juga. Di dunia yang didorong oleh aplikasi dan data, Perusahaan semakin banyak mengekspos API ke dunia luar sejalan dengan Google, Facebook, twitter. Dengan perkembangan ini, segitiga 3 cara otentikasi akan terbentuk
1) Penyedia API - Semua perusahaan yang mengekspos aset mereka dengan API, katakan Amazon, Target dll 2) Pengembang - Orang yang membangun aplikasi seluler / lainnya melalui API ini 3) Pengguna akhir - Pengguna akhir dari layanan yang disediakan oleh - katakanlah pengguna terdaftar / tamu dari Amazon
Sekarang ini mengembangkan situasi yang berkaitan dengan keamanan - (Saya mencantumkan beberapa kompleksitas ini) 1) Anda sebagai pengguna akhir ingin memungkinkan pengembang mengakses API atas nama Anda. 2) Penyedia API harus mengotentikasi pengembang dan pengguna akhir 3) Pengguna akhir harus dapat memberikan dan mencabut izin untuk persetujuan yang mereka berikan 4) Pengembang dapat memiliki tingkat kepercayaan yang berbeda dengan penyedia API, dalam di mana tingkat izin yang diberikan padanya berbeda
Oauth adalah kerangka kerja otorisasi yang mencoba menyelesaikan masalah yang disebutkan di atas dengan cara standar. Dengan keunggulan API dan Aplikasi, masalah ini akan menjadi semakin relevan dan standar apa pun yang mencoba menyelesaikannya - baik itu yang lain atau lainnya - akan menjadi sesuatu yang harus diperhatikan sebagai penyedia / pengembang API dan bahkan pengguna akhir!
OAuth ( O pen Tupoksi orization) adalah standar terbuka untuk protokol akses pemberian / deligation. Ini digunakan sebagai cara bagi pengguna Internet untuk memberikan situs web atau aplikasi akses ke informasi mereka di situs web lain tetapi tanpa memberi mereka kata sandi. Itu tidak berurusan dengan otentikasi .
Atau
OAuth 2.0 adalah protokol yang memungkinkan pengguna untuk memberikan akses terbatas ke sumber daya mereka di satu situs, ke situs lain, tanpa harus mengekspos kredensial mereka.
Analogi 1: Banyak mobil mewah hari ini datang dengan kunci pelayan. Ini adalah kunci khusus yang Anda berikan kepada petugas parkir dan tidak seperti kunci biasa Anda, tidak akan memungkinkan mobil untuk mengemudi lebih dari satu atau dua mil. Beberapa kunci pelayan tidak akan membuka bagasi, sementara yang lain akan memblokir akses ke buku alamat ponsel Anda. Terlepas dari batasan apa yang diberlakukan oleh kunci pelayan, idenya sangat pintar. Anda memberi seseorang akses terbatas ke mobil Anda dengan kunci khusus, sambil menggunakan kunci biasa untuk membuka kunci semuanya. src dari auth0
Analogi 2: Asumsikan, kami ingin mengisi formulir aplikasi untuk rekening bank. Di sini Oauth berfungsi sebagai, alih-alih mengisi formulir dengan pemohon, bank dapat mengisi formulir menggunakan Adhaar atau paspor.
Di sini tiga entitas berikut terlibat:
OAuth adalah tentang mendelegasikan Otorisasi (memilih seseorang yang dapat melakukan Otorisasi untuk Anda). Perhatikan bahwa Otentikasi dan Otorisasi adalah hal yang berbeda. OAuth adalah Otorisasi (Kontrol akses), dan jika Anda juga ingin menerapkan Otentikasi (verifikasi ID), protokol OpenID dapat digunakan di atas OAuth.
Semua perusahaan besar seperti Facebook, Google, Github, ... menggunakan jenis otentikasi / otorisasi saat ini. Sebagai contoh, saya baru saja masuk di situs web ini menggunakan akun Google saya, ini berarti Stackoverflow tidak tahu kata sandi saya, itu menerima tunjangan dari Google di mana kata sandi saya (jelas hash) disimpan. Ini memberi banyak manfaat, salah satunya adalah; Dalam waktu dekat Anda tidak perlu membuat beberapa akun di setiap situs web. Satu situs web (yang paling Anda percayai) dapat digunakan untuk masuk ke semua situs web lainnya. Jadi Anda hanya perlu mengingat satu kata sandi.
OAuthterjadi ketika kami mendaftar akun SO dengan tombol Facebook / Google.
Sumber: Penyedia layanan OAuth1
OAuth adalah standar terbuka untuk otorisasi, yang biasanya digunakan sebagai cara bagi pengguna Internet untuk masuk ke situs web pihak ketiga menggunakan akun Microsoft, Google, Facebook atau Twitter mereka tanpa membuka kata sandi mereka.
OAuth adalah protokol yang digunakan dari Resource Owner (facebook, google, tweeter, microsoft live, dan sebagainya) untuk memberikan informasi yang diperlukan, atau untuk memberikan izin keberhasilan menulis ke sistem pihak ketiga (misalnya situs Anda). Kemungkinan besar tanpa protokol OAuth kredensial harus tersedia untuk sistem bagian ketiga yang akan menjadi cara komunikasi yang tidak tepat antara sistem-sistem tersebut.