Pokud jste použili tlačítko „Přihlásit se pomocí Facebooku“ nebo jste ke svému účtu Twitter udělili přístup třetí straně, použili jste OAuth. Používají ho také Google, Microsoft a LinkedIn, stejně jako mnoho dalších poskytovatelů účtů. V zásadě vám OAuth umožňuje poskytnout webové stránce přístup k některým informacím o vašem účtu, aniž byste mu dali skutečné heslo k účtu.
OAuth pro přihlášení
OAuth má na webu nyní dva hlavní účely. Často se používá k vytvoření účtu a pohodlnějšímu přihlášení k online službě. Například místo vytvoření nového uživatelského jména a hesla pro Spotify můžete kliknout nebo klepnout na Přihlásit se pomocí Facebooku. Služba zkontroluje, kdo jste na Facebooku, a vytvoří vám nový účet. Když se v budoucnu přihlásíte do této služby, uvidíte, že se přihlásíte pomocí stejného účtu na Facebooku a umožníte vám přístup ke svému účtu. Nemusíte si nastavovat nový účet ani nic jiného - Facebook vás místo toho autentizuje.
To je úplně něco jiného, než jen dát službě své heslo k účtu na Facebooku. Služba nikdy nezíská vaše heslo k účtu Facebook ani plný přístup k vašemu účtu. Může zobrazovat pouze některé omezené osobní údaje, jako je vaše jméno a e -mailová adresa. Nemůže zobrazit vaše soukromé zprávy ani zveřejňovat příspěvky na vaší časové ose.
„Přihlášení pomocí Twitteru“, „Přihlášení pomocí Google“, „Přihlášení pomocí Microsoftu“, „Přihlášení pomocí LinkedIn“ a další podobná tlačítka pro jiné webové stránky fungují stejným způsobem,
OAuth pro aplikace třetích stran
OAuth se také používá při poskytování přístupu aplikacím třetích stran k účtům, jako jsou účty Twitter, Facebook, Google nebo Microsoft. Tyto aplikace třetích stran mají přístup k částem vašeho účtu. Nikdy však nedostanou heslo k vašemu účtu. Každá aplikace dostane jedinečný přístupový kód, který omezuje přístup k vašemu účtu. Například aplikace Twitter třetí strany může mít schopnost zobrazovat pouze vaše tweety, ale nezveřejňovat nové. Tento jedinečný přístupový token lze v budoucnu odvolat a pouze tato konkrétní aplikace ztratí přístup k vašemu účtu.
Jako další příklad můžete aplikaci třetí strany poskytnout přístup pouze k vašim e-mailům v Gmailu, ale omezit ji v tom, aby s vaším účtem Google nedělala nic jiného.
To je úplně jiné, než jen dát aplikaci třetí strany heslo k účtu a nechat ji přihlásit. Možnosti aplikací jsou omezené a tento jedinečný přístupový token znamená, že přístup k účtu můžete kdykoli zrušit, aniž byste museli měnit heslo k hlavnímu účtu a aniž byste zrušili přístup z jiných aplikací.
Jak OAuth funguje?
Když jej použijete, pravděpodobně neuvidíte slovo „OAuth“. Webové stránky a aplikace vás požádají pouze o přihlášení pomocí účtu Facebook, Twitter, Google, Microsoft, LinkedIn nebo jiného typu účtu.
Když si vyberete účet, budete přesměrováni na webové stránky poskytovatele účtu, kde se budete muset přihlásit pomocí tohoto účtu, pokud nejste aktuálně přihlášeni. Pokud jste přihlášeni - skvělé! Nemusíte ani zadávat heslo.
Před zadáním hesla se ujistěte, že jste skutečně přesměrováni na Facebook, Twitter, Google, Microsoft, LinkedIn nebo jakýkoli jiný web služby se zabezpečeným připojením HTTPS! Zdá se, že tato část procesu je připravena na phishing, kde se škodlivé weby mohou pokusit zachytit vaše heslo jako skutečné stránky služeb.
V závislosti na tom, jak služba funguje, můžete být automaticky přihlášeni s malými osobními údaji nebo se může zobrazit výzva k udělení přístupu aplikace k některému z vašich účtů. Můžete si dokonce vybrat, k jakým informacím chcete aplikaci udělit přístup.
Jakmile aplikaci udělíte přístup, je hotovo. Služba, kterou si vyberete, poskytne jedinečný přístupový kód. Ukládá tento token a používá jej k přístupu k těmto podrobnostem o vašem účtu v budoucnu. V závislosti na aplikaci to lze použít pouze k ověření při přihlášení nebo k automatickému přístupu k vašemu účtu a provádění věcí na pozadí. Například aplikace třetí strany, která kontroluje váš účet Gmail, může pravidelně přistupovat k vašim e-mailům, aby vám mohla poslat oznámení, pokud něco najde.
Jak zobrazit a odebrat přístup z externích aplikací
Na webových stránkách každého účtu můžete zobrazit a spravovat seznam webů a aplikací třetích stran, které mají přístup k vašemu účtu. Je vhodné je čas od času zkontrolovat, protože jste možná jednou poskytli službě přístup ke svým osobním informacím, přestali ji používat a zapomněli, že tato služba k ní stále má přístup. Omezení služeb, které mají přístup k vašemu účtu, může pomoci zabezpečit jeho a vaše soukromá data.
Podrobnější technické informace o implementaci OAuth najdete na Webové stránky OAuth .
