Apa itu OAuth?
Pelajari apa itu OAuth dan bagaimana OAuth digunakan untuk memberikan otorisasi akses antara aplikasi dan layanan tanpa membahayakan informasi sensitif.
Penjelasan OAuth
OAuth adalah standar teknologi yang memungkinkan Anda memberikan otorisasi satu aplikasi atau layanan untuk masuk ke aplikasi atau layanan lain tanpa membocorkan informasi pribadi, seperti kata sandi. Jika Anda pernah menerima pesan seperti, “Masuk dengan Facebook?” atau “Izinkan aplikasi ini mengakses akun Anda?” Anda sudah pernah melihat fungsi OAuth.
OAuth adalah singkatan dari Open Authorization—bukan authentication atau autentikasi, karena terkadang diasumsikan demikian. Autentikasi adalah proses yang memverifikasi identitas Anda. OAuth memang melibatkan identitas Anda, tetapi tujuannya adalah untuk memberikan izin guna terhubung dengan lancar ke berbagai aplikasi dan layanan tanpa mengharuskan Anda membuat akun baru. OAuth menyediakan kemudahan pengalaman dengan memberi Anda opsi untuk memberikan otorisasi ke dua aplikasi untuk berbagi beberapa data tanpa mengungkapkan kredensial Anda. Layanan ini menyeimbangkan kenyamanan dan keamanan.
OAuth dirancang untuk berfungsi dengan Protokol Transfer Hiperteks (HTTP). Layanan ini menggunakan token akses untuk membuktikan identitas Anda dan memungkinkannya berinteraksi dengan layanan lain atas nama Anda. Jika layanan kedua ini mengalami kebocoran data, kredensial Anda pada layanan pertama akan tetap aman. OAuth adalah protokol standar terbuka yang diadopsi secara luas dan digunakan oleh sebagian besar pengembang situs web dan aplikasi.
Lebih penting lagi, OAuth tidak memberikan akses tak terbatas ke data Anda kepada layanan atau aplikasi pihak ketiga. Salah satu bagian dari protokolnya adalah menentukan data apa yang diizinkan untuk diakses oleh pihak ketiga dan tindakan apa yang dapat dilakukan pihak ketiga dengan data tersebut. Mengatur keterbatasan tersebut dan melindungi identitas secara umum, sangat penting dalam skenario bisnis ketika banyak orang memiliki akses ke berbagai informasi sensitif dan hak milik.
Bagaimana cara fungsi OAuth?
Token akses adalah hal yang membuat OAuth aman digunakan. Token akses adalah bagian dari data yang berisi informasi tentang pengguna dan sumber daya yang menjadi tujuan dari token. Token juga akan menyertakan aturan tertentu untuk berbagi data.
Misalnya, Anda mungkin ingin berbagi foto dari profil media sosial dengan aplikasi pengeditan foto, tetapi ingin aplikasi tersebut hanya memiliki akses ke beberapa foto Anda. Aplikasi tersebut juga tidak perlu mengakses pesan langsung atau daftar teman Anda. Token hanya mengotorisasi akses ke data yang Anda setujui. Mungkin juga ada aturan yang mengatur kapan aplikasi dapat menggunakan token—token mungkin hanya untuk penggunaan tunggal atau untuk penggunaan berulang—dan tanggal berakhirnya.
Proses OAuth sebagian besar merupakan interaksi komputer ke komputer dengan sedikit titik interaksi untuk pengguna. Dalam beberapa skenario, Anda mungkin tidak perlu memberikan persetujuan karena persetujuan ditangani di latar belakang secara diam-diam oleh perangkat lunak. Dua contoh OAuth ini terjadi dalam skenario kerja perusahaan, ketika platform identitas menangani koneksi antara sumber daya untuk mengurangi gesekan IT bagi sejumlah besar pengguna, atau dalam interaksi antara beberapa perangkat pintar.
Contoh teknologi OAuth
Seperti banyak teknologi yang menyederhanakan hal-hal yang membosankan—dalam kasus ini, secara manual membuat akun di beberapa aplikasi—OAuth telah diadopsi hampir secara universal oleh pembuat aplikasi. Layanan ini memiliki berbagai kasus penggunaan untuk orang dan bisnis.
Untuk memberikan salah satu contoh OAuth, anggaplah Anda menggunakan Microsoft Teams sebagai alat kolaborasi dan ingin mengakses informasi lebih lanjut tentang orang-orang yang bekerja dengan Anda, baik di dalam maupun di luar organisasi. Anda memutuskan untuk mengaktifkan integrasi LinkedIn agar Anda dapat mempelajari lebih lanjut tentang orang-orang saat Anda berinteraksi dengan mereka, tanpa keluar dari Teams. Microsoft dan LinkedIn kemudian menggunakan OAuth untuk mengotorisasi penautan akun dengan identitas Microsoft Anda.
Skenario lain penggunaan OAuth adalah ketika Anda mengunduh aplikasi pembuatan anggaran untuk membantu melacak pengeluaran dengan peringatan dan bantuan visual, seperti grafik. Untuk melakukan tugasnya, aplikasi memerlukan akses ke beberapa data perbankan Anda. Anda dapat memulai permintaan untuk menautkan rekening bank Anda dengan aplikasi, hanya memberikan otorisasi akses ke saldo dan transaksi rekening Anda. Aplikasi dan bank Anda akan menggunakan OAuth untuk melakukan pertukaran informasi ini atas nama Anda tanpa mengungkapkan kredensial masuk bank Anda ke aplikasi.
Contoh OAuth lainnya adalah ketika Anda adalah seorang pengembang yang menggunakan GitHub dan Anda mengetahui bahwa tersedia aplikasi pihak ketiga yang dapat terintegrasi dengan akun Anda untuk melakukan peninjauan kode otomatis. Buka Marketplace GitHub dan unduh aplikasi. Layanan kemudian akan meminta Anda untuk mengotorisasi koneksi dengan aplikasi menggunakan identitas GitHub Anda—proses yang akan ditangani menggunakan OAuth. Aplikasi peninjauan dapat mengakses kode Anda tanpa harus masuk ke kedua layanan tersebut setiap kali.
Apa perbedaan antara OAuth 1.0 dan OAuth 2.0?
OAuth 1.0 asli dikembangkan hanya untuk situs web. Tidak banyak digunakan saat ini karena OAuth 2.0 dirancang untuk aplikasi dan situs web, ditambah dengan penerapan yang lebih cepat dan lebih mudah. OAuth 1.0 tidak diskalakan seperti OAuth 2.0, dan hanya memiliki tiga kemungkinan alur otorisasi dibandingkan enam yang dimiliki OAuth 2.0.
Jika Anda berencana menggunakan OAuth, sebaiknya Anda menggunakan versi 2.0 dari awal. Sayangnya, OAuth 1.0 tidak dapat ditingkatkan ke OAuth 2.0. OAuth 2.0 dimaksudkan untuk menjadi desain ulang radikal dari OAuth 1.0 dan beberapa perusahaan teknologi besar memberikan kontribusi berupa umpan balik terkait desainnya. Situs web dapat mendukung OAuth 1.0 dan OAuth 2.0, tetapi pembuat bertujuan bahwa 2.0 akan sepenuhnya menggantikan 1.0.
OAuth vs. OIDC
OAuth dan Open ID Connect (OIDC) adalah protokol yang terkait erat. Keduanya serupa karena berperan dalam memberikan satu akses aplikasi ke sumber daya aplikasi lain atas nama pengguna. Perbedaannya adalah sementara OAuth digunakan untuk otorisasi guna mengakses sumber daya, OIDC digunakan untuk autentikasi identitas seseorang. Keduanya memiliki peran dalam memungkinkan dua aplikasi yang tidak terkait untuk berbagi informasi tanpa membahayakan data pengguna.
Penyedia identitas biasanya menggunakan OAuth 2.0 dan OIDC secara bersamaan. OIDC dikembangkan secara khusus untuk meningkatkan kemampuan OAuth 2.0 dengan menambahkan lapisan identitas ke dalamnya. Karena dibuat di OAuth 2.0, OIDC tidak kompatibel dengan OAuth 1.0.
Mulai menggunakan OAuth
Menggunakan OAuth 2.0 dengan situs web dan aplikasi Anda dapat meningkatkan pengalaman pengguna atau karyawan Anda secara signifikan dengan mempermudah proses autentikasi identitas. Untuk memulai, berinvestasi dalam solusi penyedia identitas, seperti Microsoft Entra, yang melindungi pengguna dan data dengan keamanan bawaan
Microsoft Entra ID (sebelumnya Azure Active Directory) mendukung semua alur OAuth 2.0. Pengembang aplikasi dapat menggunakan ID sebagai penyedia autentikasi berbasis standar untuk membantu mengintegrasikan kemampuan identitas modern berskala perusahaan ke dalam aplikasi. Admin IT dapat menggunakannya untuk mengontrol akses.
Pelajari selengkapnya tentang Microsoft Security
-
Jelajahi Microsoft Entra
Lindungi identitas dan amankan akses di seluruh cloud dengan rangkaian solusi holistik.
-
Microsoft Entra ID (sebelumnya Azure Active Directory)
Lindungi akses ke sumber daya dan data dengan menggunakan autentikasi yang kuat dan akses adaptif berbasis risiko.
-
Membangun kepercayaan ke dalam aplikasi Anda
Terapkan SSO agar karyawan dapat mengakses semua sumber daya yang mereka perlukan dengan menggunakan satu kredensial.
-
Pengalaman proses masuk yang dipermudah
Terapkan SSO agar karyawan dapat mengakses semua sumber daya yang mereka perlukan dengan menggunakan satu kredensial.
-
Melindungi dari serangan
Gunakan autentikasi multifaktor untuk meningkatkan perlindungan bagi sumber daya organisasi Anda.
-
Gunakan OAuth untuk mempermudah akses ke data email
Pelajari cara untuk mengautentikasi koneksi ke aplikasi menggunakan protokol lama.
Tanya Jawab Umum
-
OAuth adalah singkatan dari Open Authorization dan merupakan standar teknologi yang memungkinkan Anda memberikan otorisasi satu aplikasi atau layanan untuk masuk ke aplikasi atau layanan lain tanpa membocorkan informasi pribadi, seperti kata sandi. Ketika aplikasi meminta otorisasi untuk melihat informasi profil Anda—aplikasi sedang menggunakan OAuth.
-
OAuth berfungsi dengan menukar token akses—bagian dari data yang berisi informasi tentang pengguna dan sumber daya yang menjadi tujuan dari token. Satu aplikasi atau situs web bertukar informasi terenkripsi tentang pengguna dengan aplikasi atau situs web lain dan menyertakan aturan tertentu untuk berbagi data. Mungkin juga ada aturan yang mengatur kapan aplikasi dapat menggunakan token dan tanggal berakhirnya token. Proses OAuth sebagian besar merupakan interaksi komputer ke komputer dengan sedikit titik interaksi untuk pengguna, jika ada.
-
Banyak perusahaan menggunakan OAuth untuk mempermudah akses ke aplikasi dan situs web pihak ketiga tanpa membocorkan kata sandi atau data sensitif pengguna. Google, Amazon, Microsoft, Facebook, dan Twitter menggunakannya untuk berbagi informasi tentang akun mereka untuk berbagai tujuan, termasuk mempermudah proses pembelian. Platform identitas Microsoft menggunakan OAuth untuk mengotorisasi izin untuk akun kerja dan sekolah, akun pribadi, akun sosial, serta akun gaming.
-
OAuth dan Open ID Connect (OIDC) adalah protokol yang terkait erat. Keduanya serupa karena berperan dalam memberikan satu akses aplikasi ke sumber daya aplikasi lain atas nama pengguna. Perbedaannya, OAuth digunakan untuk otorisasi guna mengakses sumber daya sementara OIDC digunakan untuk autentikasi identitas seseorang. Keduanya memiliki peran dalam memungkinkan dua aplikasi yang tidak terkait untuk berbagi informasi tanpa membahayakan data pengguna.
-
Ada banyak perbedaan antara OAuth 1.0 dan OAuth 2.0 karena OAuth 2.0 dirancang untuk menjadi desain ulang radikal dari OAuth 1.0, membuatnya hampir tidak perlu digunakan lagi. OAuth 1.0 dikembangkan hanya untuk situs web, sedangkan OAuth 2.0 dirancang untuk aplikasi dan situs web. OAuth 2.0 lebih cepat dan lebih mudah diterapkan, dapat diskalakan, dan memiliki enam kemungkinan alur otorisasi dibandingkan dengan tiga yang dimiliki OAuth 1.0.
Ikuti Microsoft 365