Che cos'è OAuth?

I token OAuth autorizzano l'accesso alle risorse di un utente. In altre parole, non autenticano gli utenti, ma sono utilizzati dal fornitore di servizi per autorizzare l'accesso ad altre risorse per conto dell'utente.

La transazione OAuth si verifica quando un utente richiede l'autorizzazione a un'altra risorsa utilizzando l'identità del provider di servizi. La risorsa richiede l'autorizzazione al provider di servizi, che la fornisce sotto forma di richiesta di token e di segreto. Successivamente, la risorsa reindirizza l'utente al proprio provider di servizi per autenticare la richiesta. A questo punto, la risorsa scambia il token di richiesta con un token di accesso e un segreto. Se i due token condividono lo stesso segreto, la procedura OAuth è completa e l'utente ha delegato correttamente l'accesso della risorsa al provider di servizi.

L'esempio precedente riassume una procedura OAuth generica. OAuth consente inoltre un controllo e autorizzazioni più granulari, come il diritto di revocare i token tutte le volte che l'utente lo desidera e la definizione di diversi livelli di accesso ai provider di servizi per risorse diverse.

Nel 2012, è stato introdotto OAuth 2.0, che rappresenta un'importante revisione di OAuth 1.0. Le modifiche apportate a questa versione di OAuth sono state talmente importanti da rendere le versioni 2.0 e 1.0 non compatibili. Il protocollo OAuth 2.0 è stato progettato per risolvere un difetto nella sicurezza della sessione nel flusso di autorizzazione OAuth.

Sebbene questo problema sia stato risolto con OAuth 2.0, la nuova versione non definisce né supporta intenzionalmente la crittografia, la firma, la verifica del client o il binding del canale, ma richiede invece che gli implementatori utilizzino, a tale scopo, un protocollo di sicurezza diverso, ad esempio HTTPS/TLS.

Le differenze tra OAuth 1.0 e 2.0 sono riassunte di seguito:

SAML è un linguaggio variante XML che descrive un quadro di riferimento che consente a un dispositivo di eseguire sia l'autenticazione sia l'autorizzazione per conto di uno o più dispositivi.

Con l'emergere di opzioni leggere per la codifica dei dati, come JSON, OAuth è stato adottato per supportare gli utenti dei dispositivi mobili. Sebbene OAuth sia un protocollo più recente, nato dall'esigenza di sostituire SAML, per la sicurezza del single sign-on (SSO) entrambi i protocolli sono fondamentali.

In altre parole, OAuth non è un'alternativa a SAML ma i due protocolli possono completarsi a vicenda. Ad esempio, in un ambiente SSO, SAML può essere responsabile dell'autenticazione (confermando che l'utente è autentico e che gli deve essere concesso l'accesso) e OAuth sarà responsabile dell'autorizzazione (concedendo l'accesso a specifiche risorse protette).