Авторизация через OAuth: безопасная авторизация и как она работает?

Авторизация через Oauth — это специфический протокол, который позволяет авторизоваться в каком-либо ресурсе, не заводя в нем персонального аккаунта, а за счет аккаунтов других авторитетных ресурсов: Facebook, VK, GitHub, Google-аккаунт и др. При таком подходе Oauth позволяет одному веб-ресурсу использовать необходимую информацию для регистрации в нем нового аккаунта из другого, уже подтвержденного аккаунта стороннего веб-ресурса.

 

Авторизация Oauth

Авторизация Oauth несет в себе 4 роли:

1. Владелец ресурса — это пользователь или система, которая обладает исключительным правом на некий «защищенный ресурс».
2. Сервер ресурсов — это сервер, где располагается некий защищенный ресурс, к которому имеет доступ «владелец ресурса».
3. Клиентское приложение — это веб-ресурс, который просит разрешить ему доступ к некоему другому ресурсу от лица его владельца.
4. Сервер для авторизации — это сервер, который дает «клиентскому приложению» специальный ключ для доступа к защищенному приложению, после того как «владелец ресурса» в нем успешно авторизовался.

 

Как работает авторизация через протокол Oauth?

Рассмотрим, через какие пункты проходит авторизация через протокол Oauth:

1. «Клиентское приложение» просит у «владельца ресурса» дать доступ к «серверу ресурсов», где расположено другое «защищенное приложение», в котором уже зарегистрирован пользователь и имеет в нем свой аккаунт.
2. Когда «владелец ресурса» разрешает доступ, то «клиентское приложение» авторизуется в «защищенном приложении» от имени его владельца.
3. Далее «клиентское приложение» обращается к «серверу для авторизации» и просит выдать ему специальный ключ, при этом оно дает полную информацию о себе и сообщает о том, что «владелец ресурса» дал разрешение на авторизацию от его имени.
4. Когда «клиентское приложение» получило одобрение со стороны «сервера для авторизации», оно получает специальный ключ для доступа к «защищенному приложению» от лица его владельца.
5. Далее «клиентское приложение» запрашивает доступ к «защищенному приложению» у «сервера ресурсов», показывая специальный ключ доступа для аутентификации.
6. Когда специальный ключ будет подтвержден, то «сервер ресурсов» разрешит доступ к «защищенному приложению» для «клиентского приложения».

Вот так выглядит путь авторизации по протоколу Oauth, если его описать словами.

 

Авторизация по протоколу Oauth: преимущества и недостатки

Можно выделить следующие преимущества авторизации по протоколу Oauth:

• это очень гибкий, но в то же время защищенный протокол, который использует в своем соединении SSL, что обеспечивает конфиденциальность информации и безопасность передаваемых данных;
• при использовании Oauth не происходит обмена паролями между ресурсами, потому что доступ одного ресурса к другому осуществляется при помощи специальных ключей;
• это позволяет пользователям пройти регистрацию в одном авторитетном ресурсе, а потом при помощи данного аккаунта проходить авторизацию в других ресурсах;
• осуществляется обмен данными пользователя между различными веб-ресурсами, при этом без разглашения личной информации.

Из недостатков можно выделить только один, но очень существенный, который касается пользователей веб-ресурсов. В случае взлома «центрального» веб-ресурса, через который происходит авторизация в других веб-ресурсах, есть риск, что серьезные последствия взлома коснутся всех «завязанных» сайтов, а не только одного «центрального».

 

Заключение

Авторизация по протоколу Oauth для интернет-пользователей несет массу полезности. Все мы знаем, что у многих пользователей интернета есть несколько аккаунтов в разных соцсетях. Помимо этого, иногда нужно регистрироваться на других сайта или в приложениях для смартфонов. escortstars Процесс регистрации — это всегда скучно, неудобно, а иногда еще и долго. Поэтому в целях сохранения времени и хорошего настроения пользователей многие сервисы применяют для регистрации в них протокол Oauth. Пользователям это дает возможность пройти регистрацию один раз в какой-либо соцсети, а потом при помощи этого аккаунта регистрироваться на других веб-ресурсах, не тратя времени на заполнение анкет и подтверждение телефона и почты.