OAuth 2.0
OAuth consente accessi limitati a risorse protette. Un permesso per usare un’API non dimostra automaticamente l’identità della persona connessa.
OAuth 2.0 è un framework per autorizzare l’accesso a risorse protette. Un servizio può ricevere un token di accesso senza ottenere la password personale del proprietario della risorsa.
Un permesso limitato
In un esempio ipotetico, un servizio di analisi può leggere ordini, ma non modificarli. I diritti concessi e la risorsa di destinazione limitano l’uso del token. Il servizio che lo accetta deve verificare tali limiti.
OAuth non è, da solo, un metodo per dimostrare l’identità di una persona connessa. Possedere un token non consente neppure qualsiasi azione. Un’implementazione sicura richiede indicazioni di sicurezza attuali; vecchi esempi di flussi non bastano da soli.
Fonti
Termini correlati
- APIUn’API definisce come un programma può usare funzioni o dati messi a disposizione da un altro programma.
- Gestione delle identità e degli accessiIAM collega identità digitali e diritti di accesso. Account, cambi di ruolo e revoca dei vecchi permessi vanno gestiti insieme.
- Principio del privilegio minimoIl privilegio minimo limita i permessi al compito necessario e al suo ambito. Il lavoro richiesto resta possibile; i poteri superflui vengono rimossi.
- WebAuthnWebAuthn è l’API del browser per l’accesso con chiavi pubbliche. Il server deve verificare la risposta prima di accettare l’autenticazione.
- PasskeyUna passkey permette l’accesso con una coppia di chiavi legata al servizio. Cambio dispositivo, recupero dell’account e permessi restano da gestire.
- Controllo degli accessi basato sugli attributiABAC valuta gli accessi mediante proprietà e regole definite. Origine e aggiornamento delle proprietà fanno parte della progettazione.
Il vostro progetto con ASES
Descriveteci il vostro progetto. Vi ricontatteremo con una prima valutazione.