אם השתמשת בכפתור "היכנס באמצעות פייסבוק" או שנתת לצד שלישי גישה לחשבון הטוויטר שלך, השתמשת ב- OAuth. הוא משמש גם על ידי גוגל, מיקרוסופט ולינקדאין, כמו גם ספקי חשבון רבים אחרים. בעיקרו של דבר, OAuth מאפשרת לך לתת לאתר גישה למידע על חשבונך מבלי לתת לו את סיסמת החשבון שלך בפועל.
OAuth להתחברות
ל- OAuth יש שתי מטרות עיקריות באינטרנט כרגע. הוא משמש לעתים קרובות ליצירת חשבון וכניסה לשירות מקוון בצורה נוחה יותר. לדוגמה, במקום ליצור שם משתמש וסיסמה חדשים של Spotify, תוכל ללחוץ או להקיש על כניסה באמצעות פייסבוק. השירות בודק מי אתה בפייסבוק ויוצר עבורך חשבון חדש. כאשר אתה נכנס לשירות זה בעתיד, תראה שאתה מתחבר עם אותו חשבון פייסבוק ונותן לך גישה לחשבון שלך. אינך צריך להקים חשבון חדש או כל דבר אחר - פייסבוק מאמתת אותך במקום זאת.
זה שונה לגמרי מאשר לתת לשירות את הסיסמה לחשבון הפייסבוק שלך, בכל מקרה. השירות לעולם לא יקבל את סיסמת חשבון הפייסבוק שלך או גישה מלאה לחשבון שלך. הוא יכול להציג רק כמה פרטים אישיים מוגבלים, כגון שמך וכתובת הדוא"ל שלך. הוא לא יכול להציג את ההודעות הפרטיות שלך או לפרסם את ציר הזמן שלך.
"היכנס באמצעות טוויטר", "היכנס באמצעות Google", "היכנס באמצעות מיקרוסופט", "היכנס באמצעות לינקדאין" וכפתורים דומים אחרים לאתרים אחרים פועלים באותו אופן,
OAuth לאפליקציות של צד שלישי
OAuth משמש גם כשנותנים לאפליקציות של צד שלישי גישה לחשבונות כמו טוויטר, פייסבוק, גוגל או חשבונות Microsoft. ליישומי צד שלישי אלה מותר לגשת לחלקים מהחשבון שלך. עם זאת, הם לעולם אינם מקבלים את סיסמת החשבון שלך. כל אפליקציה מקבלת קוד גישה ייחודי המגביל את הגישה לחשבון שלך. לדוגמה, אפליקציית טוויטר של צד שלישי עשויה להיות מסוגלת להציג רק את הציוצים שלך, אך לא לפרסם חדשים. ניתן לבטל אסימון גישה ייחודי זה בעתיד, ורק האפליקציה הספציפית הזו תאבד את הגישה לחשבונך.
כדוגמה נוספת, ייתכן שתתן לאפליקציה של צד שלישי גישה רק להודעות הדוא"ל שלך ב- Gmail, אך תוכל להגביל אותה מלעשות כל דבר אחר בחשבון Google שלך.
זה שונה לגמרי מאשר רק לתת לאפליקציה של צד שלישי את סיסמת החשבון שלך ולתת לה להיכנס. היישומים מוגבלים במה שהם יכולים לעשות, ואסימון הגישה הייחודי הזה אומר שאתה יכול לבטל את הגישה לחשבון בכל עת מבלי לשנות את סיסמת החשבון הראשי שלך ומבלי לבטל את הגישה מאפליקציות אחרות.
כיצד פועל OAuth?
סביר להניח שלא תראה את המילה "OAuth" כשתשתמש בה. אתרים ואפליקציות יבקשו ממך רק להיכנס באמצעות פייסבוק, טוויטר, גוגל, מיקרוסופט, לינקדאין או כל סוג אחר של חשבון.
בעת בחירת חשבון, תועבר לאתר ספק החשבון, שם תצטרך להיכנס עם אותו חשבון אם אינך מחובר כרגע. אם אתה מחובר - מעולה! אתה אפילו לא צריך להזין סיסמה.
וודא שאתה מופנה למעשה לפייסבוק, טוויטר, גוגל, מיקרוסופט, לינקדאין או כל אתר שירות אחר עם חיבור HTTPS מאובטח לפני שאתה מקליד את הסיסמה! נראה כי חלק זה של התהליך מוכן לפישינג, כאשר אתרים זדוניים עשויים לטעון שהם אתר השירות האמיתי בניסיון ללכוד את הסיסמה שלך.
בהתאם לאופן הפעולה של השירות, ייתכן שתתחבר אוטומטית עם מעט מידע אישי, או שתראה הודעה לתת לאפליקציה גישה לחלק מהחשבון שלך. ייתכן אפילו שתוכל לבחור לאיזה מידע אתה רוצה לתת לאפליקציה גישה.
ברגע שאתה נותן לאפליקציה גישה, זה נעשה. השירות שתבחר יספק קוד גישה ייחודי. הוא שומר אסימון זה ומשתמש בו כדי לגשת לפרטים אלה אודות חשבונך בעתיד. בהתאם לאפליקציה, ניתן להשתמש בזה רק כדי לאמת אותך בעת הכניסה, או כדי לגשת אוטומטית לחשבונך ולעשות דברים ברקע. לדוגמה, אפליקציה של צד שלישי הסורקת את חשבון Gmail שלך עשויה לגשת לדוא"ל שלך באופן קבוע, כך שתוכל לשלוח לך הודעה אם היא תמצא משהו.
כיצד להציג ולבטל גישה מאפליקציות חיצוניות
אתה יכול להציג ולנהל את רשימת האתרים והאפליקציות של צד שלישי שיש להם גישה לחשבון שלך באתר של כל חשבון. כדאי לבדוק אלה מדי פעם, מכיוון שאולי נתת פעם גישה למידע האישי שלך לשירות, הפסקת להשתמש בו ושכחת כי לשירות זה עדיין יש גישה. הגבלת השירותים שיכולים לגשת לחשבון שלך יכולה לסייע באבטחתו ובנתונים הפרטיים שלך.
למידע טכני מפורט יותר על יישום OAuth, בקר אתר OAuth .
