Što je OAuth? Kako funkcioniraju tipke za prijavu na Facebook, Twitter i Google
Ako ste ikada upotrijebili gumb "Prijavite se putem Facebooka" ili ako imate pristup aplikaciji treće strane na svom računu na Twitteru, upotrebljavali ste OAuth. Koriste ga i Google, Microsoft i LinkedIn, kao i mnogi drugi davatelji računa. U suštini, OAuth vam dopušta pristup web-lokaciji nekim informacijama o vašem računu, a da mu ne date stvarnu zaporku računa.
OAuth za prijavu
OAuth trenutno ima dvije glavne svrhe na webu. Često se koristi za stvaranje računa i lakše prijavljivanje u mrežnu uslugu. Na primjer, umjesto stvaranja novog korisničkog imena i lozinke za Spotify, možete kliknuti ili dodirnuti "Prijava s Facebookom". Usluga provjerava tko ste na Facebooku i za vas stvara novi račun. Kada se ubuduće prijavite na tu uslugu, vidjet ćete da se prijavljujete s istim Facebook računom i daje vam pristup računu. Ne trebate postaviti novi račun ili vam se umjesto toga Facebook prepisuje.
Međutim, to je vrlo različito od jednostavnog davanja lozinke za uslugu Facebooku. Usluga nikada ne dobiva vašu lozinku za Facebook račun niti potpuni pristup vašem računu. Može samo vidjeti nekoliko ograničenih osobnih podataka, kao što su vaše ime i adresa e-pošte. Ne može vidjeti vaše privatne poruke niti objavljivati na vašoj vremenskoj traci.
Oni koji se prijavljuju putem Twittera, “Prijava s Googleom”, “Prijava s Microsoftom”, “Prijava s LinkedIn” i drugi slični gumbi za druge web-lokacije rade na isti način,
OAuth za aplikacije treće strane
OAuth se također koristi pri davanju aplikacija treće strane računima kao što su računi na Twitteru, Facebooku, Googleu ili Microsoftu. Omogućuje tim aplikacijama trećih strana pristup dijelovima vašeg računa. Međutim, oni nikada ne dobivaju zaporku računa. Svaka aplikacija dobiva jedinstveni pristupni token koji ograničava pristup koji ima za vaš račun. Primjerice, aplikacija treće strane za Twitter može imati samo mogućnost pregleda vaših tweetova, ali ne i postavljanja novih tweetova. Taj jedinstveni pristupni token može se u budućnosti opozvati, a samo će ta određena aplikacija izgubiti pristup vašem računu.
Kao drugi primjer, možete aplikaciji treće strane dati pristup samo vašim e-pošti na usluzi Gmail, ali ograničite je da ne radi ništa drugo s vašim Google računom.
To se jako razlikuje od jednostavnog davanja aplikacije trećoj strani zaporke računa i omogućavanja prijave. Aplikacije su ograničene na ono što mogu, a taj jedinstveni pristupni pristup znači da se pristup računu može opozvati u bilo kojem trenutku bez promjene glavnog i bez oduzimanja pristupa drugim aplikacijama.
Kako OAuth radovi
Vjerojatno nećete vidjeti riječ "OAuth" kada je koristite. Web-lokacije i aplikacije samo će od vas tražiti da se prijavite putem računa Facebook, Twitter, Google, Microsoft, LinkedIn ili druge vrste računa.
Kada odaberete račun, bit ćete preusmjereni na web-lokaciju davatelja računa, gdje ćete se morati prijaviti s tim računom ako trenutno niste prijavljeni. Ako ste prijavljeni - odlični! Ne morate unijeti ni lozinku.
Provjerite jeste li zapravo usmjereni na stvarnu web-lokaciju Facebook, Twitter, Google, Microsoft, LinkedIn ili neku drugu uslugu s sigurnom HTTPS vezom prije nego upišete lozinku! Čini se da je ovaj dio procesa zreo za krađu identiteta, jer bi se zlonamjerne web-lokacije mogle pretvarati da su web-lokacija prave usluge u pokušaju snimanja zaporke.
Ovisno o tome kako usluga funkcionira, možda ćete automatski biti prijavljeni s malo osobnih podataka ili ćete možda vidjeti upit za pristup aplikaciji na neki od vaših računa. Možda čak možete birati koje informacije želite dati aplikaciji pristup.
Nakon što pristupite aplikaciji, to je učinjeno. Vaša usluga daje web-mjestu ili aplikaciji jedinstveni pristupni token. Ona pohranjuje taj token i koristi ga da ubuduće dobije pristup tim pojedinostima o vašem računu. Ovisno o aplikaciji, to se može koristiti samo za autentifikaciju prilikom prijave ili za automatski pristup vašem računu i obavljanje poslova u pozadini. Primjerice, program treće strane koji skenira vaš Gmail račun može redovito pristupati e-pošti kako bi vam mogao poslati obavijest ako pronađe nešto.
Kako pregledati i opozvati pristup iz aplikacija trećih strana
Popis web-lokacija i aplikacija trećih strana koje imaju pristup vašem računu možete pregledati i upravljati na web-lokaciji svakog računa. Bilo bi dobro da ih s vremena na vrijeme provjerite, jer ste možda jednom dali pristup svojim osobnim podacima usluzi, prestali ga koristiti i zaboravili da usluga još uvijek ima pristup. Ograničavanje usluga koje imaju pristup vašem računu može vam pomoći u osiguravanju i privatnim podacima.
Detaljnije tehničke informacije o implementaciji OAuth potražite na web-lokaciji OAuth.
