OAuth 2.0
OAuth giver begrænset adgang til beskyttede ressourcer. En API-tilladelse beviser ikke automatisk en indlogget persons identitet.
OAuth 2.0 er en ramme for at autorisere adgang til beskyttede ressourcer. En tjeneste kan modtage et adgangstoken uden at få ressourceejerens personlige adgangskode.
Begrænset tilladelse
I et hypotetisk eksempel må en analysetjeneste læse ordrer, men ikke ændre dem. De tildelte rettigheder og målressourcen begrænser, hvad tokenet må bruges til. Tjenesten, der accepterer det, skal kontrollere grænserne.
OAuth er ikke i sig selv en metode til at bevise en indlogget persons identitet. At have et token giver heller ikke tilladelse til enhver handling. En sikker implementering kræver aktuelle sikkerhedsanbefalinger; ældre eksempler på forløb er ikke nok alene.
Kilder
Relaterede begreber
- APIEn API fastlægger, hvordan software kan bruge funktioner eller data fra anden software.
- Identitets- og adgangsstyringIAM forbinder digitale identiteter med adgangsrettigheder. Konti, rolleskift og fjernelse af gamle rettigheder hører sammen.
- Princippet om færrest mulige rettighederPrincippet begrænser rettigheder til den nødvendige opgave og dens dataområde. Nødvendigt arbejde er muligt; overflødige beføjelser fjernes.
- WebAuthnWebAuthn er browserens API til login med offentlige nøgler. Serveren skal kontrollere browsersvaret, før den accepterer login.
- PasskeyEn passkey muliggør login med et nøglepar knyttet til tjenesten. Enhedsskift, kontogendannelse og rettigheder er fortsat særskilte opgaver.
- Attributbaseret adgangskontrolABAC vurderer adgang ud fra definerede egenskaber og regler. Egenskabernes kilde og aktualitet er en del af designet.
Dit projekt med ASES
Beskriv dit projekt for os. Vi vender tilbage med en første vurdering.