Co je to OAuth? Jak fungují ty tlačítka Facebook, Twitter a Google Sign-in

Pokud jste někdy používali tlačítko "Přihlásit se s Facebookem" nebo pokud máte přístup k aplikacím třetích stran na svůj účet Twitter, jste použili službu OAuth. Je také používán společností Google, Microsoft a LinkedIn, stejně jako mnoho dalších poskytovatelů účtů. V zásadě služba OAuth umožňuje udělit webu přístup k některým informacím o vašem účtu, aniž by mu dala skutečné heslo k účtu.

OAuth pro přihlášení

OAuth má na webu momentálně dva hlavní účely. Často se používá pro vytváření účtu a pohodlnější přihlášení do služby online. Například místo vytvoření nového uživatelského jména a hesla pro Spotify můžete kliknout nebo klepnout na "Přihlásit se pomocí Facebooku". Služba zjistí, kdo jste na Facebooku a vytvoří vám nový účet. Když se do této služby v budoucnu přihlásíte, zjistí, že jste přihlášeni se stejným účtem Facebook a dáváte přístup k vašemu účtu. Nemusíte nastavovat nový účet nebo něco - Facebook vás ovšem ověří.

To je velmi odlišné od jednoduše dané služby vaše heslo účtu Facebook, nicméně. Služba nikdy nedostane heslo k vašemu účtu Facebook nebo úplný přístup k vašemu účtu. Může zobrazit pouze některé omezené osobní údaje, například vaše jméno a e-mailovou adresu. Nemůže zobrazit vaši soukromou zprávu nebo příspěvek na časové ose.

Ti, kteří se přihlásí pomocí Twitteru, "Přihlaste se společností Google", "Přihlaste se společností Microsoft", "Přihlaste se pomocí služby LinkedIn" a další podobné tlačítka pro jiné webové stránky pracují stejným způsobem.

OAuth pro aplikace třetích stran

Služba OAuth se také používá při přístupu k aplikacím třetích stran k účtům, jako jsou účty Twitter, Facebook, Google nebo Microsoft. Umožňuje těmto aplikacím třetích stran přístup do částí vašeho účtu. Nikdy však nezískají heslo k účtu. Každá aplikace získá jedinečný přístupový token, který omezuje přístup, který má pro váš účet. Například aplikace třetích stran pro Twitter může mít pouze možnost prohlížet vaše tweety, ale neposílat nové tweety. Tento jedinečný přístupový token může být v budoucnu zrušen a pouze ta konkrétní aplikace ztratí přístup k vašemu účtu.

Jako další příklad můžete poskytnout přístup k aplikacím třetích stran pouze na vaše e-maily v Gmailu, ale omezit jej, aby v účtu Google nic jiného neudělal.

To je velmi odlišné od jednoduše doručování aplikace třetí strany hesla vašeho účtu a umožnění jeho přihlášení. Aplikace jsou omezeny tím, co mohou dělat, a to jedinečný přístupový token znamená, že přístup k účtu lze kdykoli zrušit bez změny hlavní a bez odvolání přístupu z jiných aplikací.

Jak funguje OAuth

Pravděpodobně se vám nezobrazí slovo "OAuth" při každém použití. Webové stránky a aplikace vás budou požadovat, abyste se přihlásili ke svému účtu Facebook, Twitter, Google, Microsoft, LinkedIn nebo jinému typu účtu.

Když si vyberete účet, budete přesměrováni na webovou stránku poskytovatele účtu, kde se budete muset přihlásit k tomuto účtu, pokud nejste přihlášeni. Pokud jste přihlášeni (-a) skvěle! Nemusíte ani zadávat heslo.

Ujistěte se, že jste před napsáním hesla skutečně směřovali na skutečné webové stránky Facebook, Twitter, Google, Microsoft, LinkedIn nebo na jakékoli jiné službě se zabezpečeným připojením HTTPS! Tato část procesu se zdá být zralá pro phishing, protože škodlivé webové stránky by mohly předstírat, že se jedná o webovou stránku skutečné služby při pokusu o zachycení vašeho hesla.

V závislosti na tom, jak služba funguje, můžete být automaticky přihlášeni s trochou osobních údajů nebo se může zobrazit výzva k tomu, aby aplikace získala přístup k některému vašemu účtu. Můžete dokonce mít možnost zvolit, které informace chcete aplikaci zpřístupnit.

Poté, co jste aplikaci zpřístupnili, je to hotovo. Vaše volitelná služba dává webové stránce nebo aplikaci jedinečný přístupový token. Tento klíč ukládá a využívá k získání přístupu k těmto údajům o vašem účtu v budoucnu. V závislosti na aplikaci se toto může použít pouze k ověření při přihlašování, nebo k automatickému přístupu k vašemu účtu ak práci na pozadí. Například aplikace třetí strany, která skenuje váš účet Gmail, může pravidelně přistupovat k vašim e-mailům, aby vám mohla zaslat upozornění, pokud něco najde.

Jak zobrazit a zrušit přístup z aplikací třetích stran

Můžete zobrazit a spravovat seznam webových stránek a aplikací třetích stran, které mají přístup k vašemu účtu na webových stránkách každého účtu. Je to dobrý nápad, abyste je občas zkontrolovali, jelikož možná jste jednou poskytli službě přístup k vašim osobním údajům, přestali je používat a zapomněli, že služba stále má přístup. Omezení služeb, které mají přístup k vašemu účtu, může pomoci zajistit jeho a vaše soukromá data.

Podrobnější technické informace o implementaci OAuth naleznete na webu OAuth.