Hva er OAuth?
Finn ut hva OAuth er, og hvordan det brukes til å godkjenne tilgang mellom apper og tjenester uten å gå på bekostning av sensitiv informasjon.
OAuth forklart
OAuth er en teknologisk standard som lar deg autorisere én app eller tjeneste til å logge på en annen uten å avsløre privat informasjon, for eksempel passord. Hvis du noen gang har mottatt en melding, for eksempel, «Logge på med Facebook?» eller «Gi dette programmet tilgang til kontoen din?» har du sett OAuth i handling.
OAuth står for Open Authorization (åpen autentisering) – ikke godkjenning, som det noen ganger antas å være. Autentisering er en prosess som bekrefter identiteten din. OAuth involverer ikke identiteten din, men formålet er å gi tillatelse for å koble deg sømløst til forskjellige apper og tjenester uten at du må opprette en ny konto. OAuth gir deg denne enkle opplevelsen ved å gi deg muligheten til å autorisere to apper til å dele noen av dataene dine uten å avsløre legitimasjonen din. Det er en god balanse mellom bekvemmelighet og sikkerhet.
OAuth er utformet for å fungere med Hypertext Transfer Protocol (HTTP). Den bruker tilgangstokener for å bevise identiteten din og gjøre det mulig å samhandle med en annen tjeneste på dine vegne. Hvis denne andre tjenesten har et datainnbrudd, forblir legitimasjonen din på den første tjenesten trygg. OAuth er en utbredt protokoll med åpen standard, og de fleste utviklere av nettsteder og apper bruker den.
Det viktigste er at OAuth ikke gir en tredjepartsapp eller -tjeneste ubegrenset tilgang til dataene dine. En del av protokollen er å spesifisere hvilke data tredjeparten har tilgang til og hva den kan gjøre med disse dataene. Å sette slike begrensninger, og å beskytte identiteter generelt, er spesielt viktig i forretningsscenarioer der mange personer har tilgang til en mengde sensitiv og proprietær informasjon.
Hvordan fungerer OAuth?
Tilgangstokener er det som gjør OAuth sikkert å bruke. Et tilgangstoken er en datadel som inneholder informasjon om brukeren og ressursen tokenet er ment for. Et token vil også inneholde bestemte regler for datadeling.
Det kan for eksempel hende du vil dele bilder fra sosiale medier med en bilderedigeringsapp, men du vil bare at den skal ha tilgang til noen av bildene dine. Den trenger heller ikke tilgang til Direktemeldinger eller vennelisten din. Tokenet godkjenner bare tilgang til dataene du godkjenner. Det kan også være regler for når programmet kan bruke tokenet – det kan være for engangsbruk eller gjentatt bruk – og en utløpsdato.
OAuth-prosessen er for det meste en maskin-til-maskin-interaksjon med bare noen få berøringspunkter for brukeren. I enkelte scenarioer trenger du kanskje ikke å gi din godkjenning fordi den håndteres stille i bakgrunnen av programvare. To OAuth-eksempler på dette kan være i et bedriftsscenario, der en identitetsplattform håndterer tilkoblinger mellom ressurser for å redusere IT-friksjon for et stort antall brukere, eller i interaksjoner mellom noen smartenheter.
Eksempler på OAuth-teknologi
I likhet med mange andre teknologier som forenkler noe kjedelig – i dette tilfellet manuell oppretting av kontoer i flere apper – har OAuth blitt tatt i bruk av nesten alle apputviklere. Den har en rekke bruksområder for både privatpersoner og bedrifter.
For å gi et OAuth-eksempel: Anta at du bruker Microsoft Teams som et samarbeidsverktøy og ønsker å få tilgang til mer informasjon om personene du samarbeider med, både i og utenfor organisasjonen. Du bestemmer deg for å aktivere LinkedIn-integrasjonen, slik at du kan lære mer om personer mens du samhandler med dem, uten å forlate Teams. Microsoft og LinkedIn vil deretter bruke OAuth til å godkjenne koblingen av kontoene dine med Microsoft-identiteten din.
Et annet scenario der du bruker OAuth, er hvis du laster ned en budsjettapp som hjelper deg med å holde oversikt over utgiftene dine ved hjelp av varsler og visuelle hjelpemidler, for eksempel grafer. For å gjøre jobben sin trenger appen tilgang til noen av bankopplysningene dine. Du kan sende en forespørsel om å koble bankkontoen din til appen, slik at du kun får tilgang til saldoen og transaksjonene dine. Appen og banken din vil bruke OAuth til å utveksle informasjon på dine vegne uten å avsløre påloggingsinformasjonen din til appen.
Et annet OAuth-eksempel er hvis du som utvikler bruker GitHub, og du finner ut at det finnes en tredjepartsapp som kan integreres med kontoen din for å utføre automatiserte kodegjennomganger. Du går til GitHub Marketplace og laster ned appen. Deretter blir du bedt om å autorisere en tilkobling til appen ved hjelp av GitHub-identiteten din – en prosess som håndteres ved hjelp av OAuth. Gjennomgangsappen kan da få tilgang til koden din uten at du trenger å logge på begge tjenestene hver gang.
Hva er forskjellen mellom OAuth 1.0 og OAuth 2.0?
Det opprinnelige OAuth 1.0 ble bare utviklet for nettsteder. Det er ikke mye brukt i dag fordi OAuth 2.0 er utviklet for både apper og nettsteder, og dessuten er det raskere og enklere å implementere. OAuth 1.0 skalerer ikke som OAuth 2.0, og det har bare tre mulige autorisasjonsflyter, sammenlignet med seks i OAuth 2.0.
Hvis du planlegger å bruke OAuth, er det best å bruke versjon 2.0 fra begynnelsen. OAuth 1.0 kan dessverre ikke oppgraderes til OAuth 2.0. OAuth 2.0 var ment å være en radikal omforming av OAuth 1.0, og flere store teknologiselskaper bidro med tilbakemeldinger om utformingen. Et nettsted kan støtte både OAuth 1.0 og OAuth 2.0, men det var meningen at 2.0 skulle erstatte 1.0 fullstendig.
OAuth kontra OIDC
OAuth og Open ID Connect (OIDC) er nært relaterte protokoller. De er like ved at begge spiller en rolle i å gi ett program tilgang til et annet programs ressurser på vegne av en bruker. Forskjellen er at mens OAuth brukes til autentisering for å få tilgang til ressurser, brukes OIDC til autentisering av en persons identitet. Begge spiller en rolle for å gjøre det mulig for to uavhengige apper å dele informasjon uten å kompromittere brukerdata.
Identitetsleverandører bruker vanligvis OAuth 2.0 og OIDC sammen. OIDC ble utviklet spesielt for å forbedre egenskapene til OAuth 2.0 ved å legge til et identitetslag i det. Fordi det er bygget på OAuth 2.0, er ikke OIDC bakoverkompatibel med OAuth 1.0.
Kom i gang med OAuth
Bruk av OAuth 2.0 på nettsteder og i apper kan forbedre bruker- og medarbeideropplevelsen betraktelig ved å forenkle autentiseringsprosessen. For å komme i gang bør du investere i en identitetsleverandørløsning, som for eksempel Microsoft Entra, som beskytter brukere og data med innebygd sikkerhet
Microsoft Entra ID (tidligere Azure Active Directory) støtter alle OAuth 2.0-flyter. Apputviklere kan bruke ID som en standardbasert autentiseringsleverandør for å integrere moderne identitetsfunksjoner i apper på foretaksnivå. IT-administratorer kan bruke det til å kontrollere tilgang.
Mer informasjon om Microsoft Sikkerhet
-
Utforsk Microsoft Entra
Beskytt identiteter og sikre tilgang på tvers av skyer med en helhetlig serie med løsninger.
-
Microsoft Entra ID (tidligere Azure Active Directory)
Beskytt tilgang til ressurser og data ved hjelp av sterk godkjenning og risikobasert adaptiv tilgang.
-
Bygg tillit inn i appene dine
Implementer SSO slik at ansatte kan få tilgang til alle ressursene de trenger med én legitimasjon.
-
Effektiviser påloggingsopplevelsen
Implementer SSO slik at ansatte kan få tilgang til alle ressursene de trenger med én legitimasjon.
-
Beskytt mot angrep
Bruk flerfaktorautentisering for å forbedre beskyttelsen av organisasjonens ressurser.
-
Bruk OAuth til å forenkle tilgangen til e-postdata
Finn ut hvordan du autentiserer tilkoblinger til programmer ved hjelp av eldre protokoller.
Vanlige spørsmål
-
OAuth står for Open Authorization og er en teknologisk standard som lar deg autorisere én app eller tjeneste til å logge på en annen uten å avsløre privat informasjon, for eksempel passord. Når en app ber deg om godkjenning for å se profilinformasjonen din – bruker den OAuth.
-
OAuth fungerer ved å utveksle tilgangstokener – datadeler som inneholder informasjon om brukeren og ressursen tokenet er ment for. En app eller et nettsted utveksler kryptert informasjon om en bruker med en annen app eller et annet nettsted, og inkluderer spesifikke regler for datadeling. Det kan også være regler for når programmet kan bruke tokenet og en utløpsdato. OAuth-prosessen er for det meste en maskin-til-maskin-interaksjon med bare noen få berøringspunkter for brukeren, hvis noen
-
Mange selskaper bruker OAuth til å forenkle tilgangen til tredjepartsapper og nettsteder uten å avsløre brukernes passord eller sensitive data. Google, Amazon, Microsoft, Facebook og Twitter bruker dem alle til å dele informasjon om kontoene sine til en rekke ulike formål, inkludert å forenkle kjøp. Microsofts identitetsplattform bruker OAuth til å godkjenne tillatelser for jobb- og skolekontoer, personlige kontoer, sosiale kontoer og spillkontoer.
-
OAuth og Open ID Connect (OIDC) er nært relaterte protokoller. De er like ved at begge spiller en rolle i å gi ett program tilgang til et annet programs ressurser på vegne av en bruker. Forskjellen er imidlertid at mens OAuth brukes til autentisering for å få tilgang til ressurser, mens OIDC brukes til autentisering av en persons identitet. Begge spiller en rolle for å gjøre det mulig for to uavhengige apper å dele informasjon uten å kompromittere brukerdata.
-
Det er mange forskjeller mellom OAuth 1.0 og OAuth 2.0, fordi OAuth 2.0 er en radikal omforming av OAuth 1.0, noe som gjør det nesten foreldet. OAuth 1.0 ble bare utviklet for nettsteder, mens OAuth 2.0 er utformet for både apper og nettsteder. OAuth 2.0 er raskere og enklere å implementere, kan skaleres og har seks mulige autorisasjonsflyter sammenlignet med de tre som OAuth 1.0 har.
Følg Microsoft 365