OAuth 2.0
OAuth gir begrenset tilgang til beskyttede ressurser. En API-tillatelse beviser ikke automatisk identiteten til en innlogget person.
OAuth 2.0 er et rammeverk for å autorisere tilgang til beskyttede ressurser. En tjeneste kan få et tilgangstoken uten å motta ressurseierens personlige passord.
Begrenset tillatelse
I et hypotetisk eksempel kan en analysetjeneste lese bestillinger, men ikke endre dem. De tildelte rettighetene og målressursen begrenser hva tokenet kan brukes til. Tjenesten som godtar det, må kontrollere grensene.
OAuth er ikke i seg selv en metode for å bevise identiteten til en innlogget person. Bare å ha et token tillater heller ikke alle handlinger. En sikker implementering trenger oppdaterte sikkerhetsråd; eldre eksempler på flyter er ikke nok alene.
Kilder
Beslektede begreper
- APIEt API fastsetter hvordan programvare kan bruke funksjoner eller data fra annen programvare.
- Identitets- og tilgangsstyringIAM knytter digitale identiteter til tilgangsrettigheter. Kontoer, rollebytter og fjerning av gamle rettigheter hører sammen.
- Prinsippet om minste privilegiumPrinsippet begrenser rettigheter til den nødvendige oppgaven og dens dataområde. Nødvendig arbeid er mulig; overflødige fullmakter fjernes.
- WebAuthnWebAuthn er nettleserens API for innlogging med offentlige nøkler. Serveren må kontrollere svaret før den godtar innloggingen.
- PasskeyEn passkey gir innlogging med et tjenestebundet nøkkelpar. Enhetsbytte, kontogjenoppretting og rettigheter må fortsatt håndteres separat.
- Attributtbasert tilgangskontrollABAC vurderer tilgang ut fra definerte egenskaper og regler. Egenskapenes kilde og aktualitet er en del av utformingen.
Ditt prosjekt med ASES
Beskriv prosjektet ditt for oss. Vi tar kontakt med en første vurdering.