OAuth Basics

[3zcurdia]

What is Oauth?

[Balik123]

yo

[3zcurdia]

must work with #15

[Balik123]

OAuth

El protocolo OAuth u Open Authorization es un estándar abierto que delega la autenticación de un usuario, al servicio que aloja los datos de este y proporciona un método para que aplicaciones o sitios web de terceros puedan autenticar al usuario o usar recursos protegidos sin que la identidad del usuario se exponga del todo.
Es decir, permite a un usuario dentro de una aplicación o sitio web, autenticarse a través de un proveedor de servicio externo en donde se encuentra guardada la información de autenticación, sin que el usuario comparta su identidad por completo, ya que el proveedor del servicio solo permitirá el acceso a los datos a los que se les concediera la autorización de uso.
Esto se puede observar al momento en el que una aplicación o sitio web nos pide autorización para iniciar sesión o registrarnos a través de nuestras redes social o cuentas de correo electrónico.

Existen dos versiones del protocolo.

• OAuth 1.0: surge a finales del 2007 basado en firmas digitales, con alta fuerza y seguridad.
• OAuth 2.0: surge como un framework, con una implementación mas sencilla, pero con mas riesgos a la hora de hablar de seguridad.

Diferencias entre versiones

OAuth 1.0

• La seguridad no se delega al protocolo HTTPS, es decir que es Independiente del Transporte.
• Uso de firmas digitales, utiliza firmas digitales para garantizar la integridad y autenticidad de un mensaje. Es decir que garantiza que el mensaje no fue manipulado o copiado.
• Los mensajes están firmados individualmente, esto quiere decir, si un solo mensaje o una parte de la firma es incorrecto, toda la transacción será anulada.

OAuth 2.0

• Delega la seguridad al protocolo HTTPS, eso quiere decir que depende del transporte.
• Uso de type token o token al portador, se usan para hacer llamadas al servidor de autorizacion, son mas faciles de implementar que una firma, pero no brindan ninguna capa de seguridad interna, pueden ser copiados o robados en cualquier instante.
• Mayor flexibilidad. OAuth 1.0 solo trabajaba bajo un esquema web, pero OAuth 2.0 permite clientes que no sean web.
• Es mas facil de implementar que el protocolo 1.0.
• Los tokens que son utilizados caducan con el tiempo o uso.

¿Como funciona?.

Para entender un poco más como opera el protocolo OAuth, se debe entender el flujo y los roles que se deben cumplir para que llevar a cabo el proceso de autenticación.

Roles de trabajo.

Propietario del recurso (usuario): Es aquel que otorga, a la aplicación, la autorización para consumir los recursos protegidos.
Cliente (aplicación): Quien va a solicitar al usuario el acceso a datos o recursos protegidos para su posterior uso.
Servidor de recursos y autorización: Es el servidor que almacena los datos o recursos protegidos del cliente, proporciona el acceso, a la aplicación, a datos o recursos protegidos siempre y cuando esta cumpla con la autorización otorgada por el usuario.

Flujo general del protocolo OAuth

1. La “aplicación” solicita la autorización para el uso de datos o recursos protegidos al “usuario”.
2. El “usuario” otorga la autorización de el uso de datos a la “aplicación”.
3. La “aplicación” envía una solicitud al “servidor de autorización”, a través de un API, con la identidad y la autorización otorgada por el “usuario”
4. Si el “servidor de autorización” valida, autentica y autoriza la identidad del “usuario” este emitirá un token de acceso hacia la “aplicación”.
5. La aplicación envía el token de acceso al “servidor de recursos” para poder autenticarse y poder usar los datos protegidos.
6. Si el token resulta ser correcto y valido, el “servidor de recursos” provee a la aplicación los datos protegidos solicitado para ser usados.