10Jul
Pokud jste někdy používali tlačítko "Přihlaste se pomocí Facebooku" nebo pokud máte přístup k aplikacím třetí strany k vašemu účtu Twitter, jste použili službu OAuth. Používá je také společnosti Google, Microsoft a LinkedIn, stejně jako mnoho dalších poskytovatelů účtů.OAuth vám v podstatě umožňuje udělit přístup k některým informacím o vašem účtu, aniž byste mu poskytli své skutečné heslo k účtu.
OAuth pro podepisování
OAuth má na webu momentálně dva hlavní účely.Často se používá pro vytváření účtu a pohodlnější přihlášení do služby online. Například místo vytvoření nového uživatelského jména a hesla pro Spotify můžete kliknout nebo klepnout na "Přihlásit se pomocí Facebooku".Služba zjistí, kdo jste na Facebooku a vytvoří pro vás nový účet. Když se do této služby v budoucnu přihlásíte, zjistí, že jste přihlášeni se stejným účtem Facebook a dává vám přístup k vašemu účtu. Nemusíte nastavovat nový účet ani něco - Facebook vás ovšem ověří.
To je velmi odlišné od jednoduše dané služby vaše heslo účtu Facebook, nicméně.Služba nikdy neobdrží vaše heslo k účtu Facebook nebo úplný přístup k vašemu účtu. Může zobrazit pouze některé omezené osobní údaje, například vaše jméno a e-mailovou adresu. Nemůže zobrazit vaši soukromou zprávu nebo příspěvek na časové ose.
Stejným způsobem pracujete stejným způsobem jako "Přihlásit se pomocí Twitteru", "Přihlaste se pomocí služby Google", "Přihlaste se společností Microsoft", "Přihlaste se pomocí služby LinkedIn" a další podobné tlačítka pro
OAuth pro aplikace třetích stran
OAuth se také používá při přístupu aplikací třetích stran k účtům, jako jsou účty Twitter, Facebook, Google nebo Microsoft. Umožňuje těmto aplikacím třetích stran přístup do částí vašeho účtu. Nikdy však nezískají heslo k účtu. Každá aplikace získá jedinečný přístupový token, který omezuje přístup, který má pro váš účet. Například aplikace třetích stran pro Twitter může mít pouze možnost prohlížet vaše tweety, ale neposílat nové tweety. Tento jedinečný přístupový token lze v budoucnu odvolat a pouze ta konkrétní aplikace ztratí přístup k vašemu účtu.
Jako další příklad můžete poskytnout aplikaci třetím stranám přístup pouze ke svým e-mailům v Gmailu, ale omezit to, že nebude dělat něco jiného s vaším účtem Google.
To je velmi odlišné od jednoduše poskytovat aplikaci třetí strany heslo vašeho účtu a nechat jej přihlásit. Aplikace jsou omezeny tím, co mohou udělat, a tento jedinečný přístupový token znamená, že přístup k účtu lze kdykoli zrušit bez změnyhlavního hesla a bez odvolání přístupu z jiných aplikací.
Jak pracuje OAuth
Pravděpodobně se při každém použití nebude zobrazovat slovo "OAuth".Webové stránky a aplikace vás budou požadovat, abyste se přihlásili ke svému účtu Facebook, Twitter, Google, Microsoft, LinkedIn nebo jinému typu účtu.
Když vyberete účet, budete přesměrováni na webové stránky poskytovatele účtu, kde se budete muset přihlásit k tomuto účtu, pokud nejste přihlášeni. Pokud jste přihlášeni skvěle! Nemusíte ani zadávat heslo.
Před zadáním hesla se ujistěte, že jste skutečně nasměrováni na skutečné webové stránky Facebook, Twitter, Google, Microsoft, LinkedIn nebo na jakékoliv jiné službě se zabezpečeným připojením HTTPS!Tato část procesu se zdá být zralá pro phishing, protože škodlivé webové stránky by mohly předstírat, že jsou skutečné webové stránky v pokusu o zachycení vašeho hesla.
V závislosti na tom, jak služba funguje, můžete být automaticky přihlášeni s trochou osobních údajů, nebo se může zobrazit výzva k přístupu aplikace k některému vašemu účtu. Můžete dokonce mít možnost zvolit, které informace chcete aplikaci zpřístupnit.
Po přidání přístupu k aplikaci je hotovo. Vaše volitelná služba dává webové stránce nebo aplikaci jedinečný přístupový token. Uchovává token a používá ji k získání přístupu k těmto údajům o vašem účtu v budoucnu. V závislosti na aplikaci se může použít pouze k ověření při přihlašování, nebo k automatickému přístupu k vašemu účtu ak práci na pozadí.Například aplikace třetích stran, která skenuje váš účet Gmail, může pravidelně přistupovat k vašim e-mailům, aby vám mohla zaslat upozornění, pokud něco najde.
Jak zobrazit a zrušit přístup z aplikací třetích stran
Můžete zobrazit a spravovat seznam webových stránek a aplikací třetích stran, které mají přístup k vašemu účtu na webových stránkách každého účtu. Je to dobrý nápad, abyste je občas zkontrolovali, jelikož možná jste jednou poskytli přístup k vašim osobním údajům službě, přestali je používat a zapomněli, že služba stále má přístup. Omezení služeb, které mají přístup k vašemu účtu, může pomoci zajistit jeho a vaše soukromá data.
Podrobnější technické informace o implementaci OAuth naleznete na webu OAuth.