Wat is OAuth?
Ontdek wat OAuth is en hoe het wordt gebruikt om toegang tussen apps en services te autoriseren zonder gevoelige informatie in gevaar te brengen.
OAuth uitgelegd
OAuth is een technologische standaard waarmee je de ene app of service toestemming geeft om zich aan te melden bij een andere app of service zonder persoonlijke gegevens, zoals wachtwoorden, openbaar te maken. Als je ooit een bericht hebt ontvangen als 'Aanmelden met Facebook?' of 'Deze applicatie toegang geven tot je account?' heb je OAuth in actie gezien.
OAuth staat voor Open Authorization, niet verificatie, zoals soms wordt aangenomen. Verificatie is een proces waarmee je identiteit wordt geverifieerd. Met OAuth wordt wel je identiteit gebruikt, maar het doel is om toestemming te verlenen voor naadloze verbinding met verschillende apps en services zonder dat je een nieuw account hoeft te maken. OAuth biedt die eenvoudige ervaring door je de mogelijkheid te geven om twee apps te autoriseren om sommige van je gegevens te delen zonder je referenties te onthullen. Het biedt een balans tussen gemak en beveiliging.
OAuth is ontworpen om te werken met Hypertext Transfer Protocol (HTTP). Het maakt gebruik van toegangstokens om je identiteit te bewijzen en interactie met een andere service namens jou mogelijk te maken. In het geval dat deze tweede service een gegevenslek ondervindt, blijven je referenties op de eerste service veilig. OAuth is een algemeen geaccepteerd open-standaardprotocol en de meeste ontwikkelaars van websites en apps gebruiken het.
Belangrijk: OAuth verleent apps of services van derden geen onbeperkte toegang tot je gegevens. Een deel van het protocol bestaat uit het opgeven van de gegevens waartoe de derde partij toegang heeft en wat deze met die gegevens kan doen. Het instellen van dergelijke beperkingen en het beveiligen van identiteiten in het algemeen is vooral van cruciaal belang in bedrijfsscenario's waarbij veel personen toegang hebben tot een schat aan gevoelige en bedrijfseigen informatie.
Hoe werkt OAuth?
Toegangstokens maken het gebruik van OAuth veilig. Een toegangstoken is een gegevendeeltje dat informatie bevat over de gebruiker en de resource waarvoor het token is bedoeld. Een token bevat ook specifieke regels voor het delen van gegevens.
Je wilt bijvoorbeeld foto's van je sociale mediaprofiel delen met een fotobewerkingsapp, maar je wilt dat deze app alleen toegang heeft tot enkele van je foto's. Het heeft ook geen toegang nodig tot je directe berichten of vriendenlijst. Het token autoriseert alleen toegang tot de gegevens die je goedkeurt. Er kunnen ook regels zijn die bepalen wanneer de toepassing dat token kan gebruiken voor eenmalig of voor terugkerend gebruik met een vervaldatum.
Het OAuth-proces is voornamelijk een machine-naar-machine-interactie met slechts enkele contactpunten voor de gebruiker. In sommige scenario's hoef je misschien geen goedkeuring te geven omdat de software dit stilletjes op de achtergrond afhandelt. Twee OAuth voorbeelden hiervan zijn in een bedrijfswerkscenario, waar een identiteitsplatform verbindingen tussen resources afhandelt om IT-wrijving voor een groot aantal gebruikers te verminderen, of bij interacties tussen een aantal slimme apparaten.
Voorbeelden van OAuth-technologie
Zoals veel technologieën die iets tijdrovends vereenvoudigen, in dit geval het handmatig maken van accounts in meerdere apps, is OAuth bijna algemeen in gebruik genomen door makers van apps. Het heeft een breed scala aan gebruiksmogelijkheden voor mensen en bedrijven.
Laten we een OAuth-voorbeeld geven: stel dat je Microsoft Teams gebruikt als samenwerkingshulpprogramma's en toegang wilt krijgen tot meer informatie over de mensen met wie je werkt, zowel binnen als buiten je organisatie. Je besluit om de LinkedIn-integratie in te schakelen zodat je meer over mensen te weten kunt komen terwijl je met ze communiceert, zonder Teams te verlaten. Microsoft en LinkedIn gebruiken dan OAuth om de koppeling van je accounts met je Microsoft-identiteit te autoriseren.
Een ander scenario waarbij OAuth wordt gebruikt, is als je een budgetteringsapp downloadt om je uitgaven bij te houden met waarschuwingen en visuele hulpmiddelen, zoals grafieken. De app heeft toegang nodig tot een aantal van je bankgegevens om zijn werk te kunnen doen. Je kunt een verzoek indienen om je bankrekening te koppelen aan de app, waarbij je alleen toestemming geeft voor toegang tot je rekeningsaldo en transacties. De app en je bank gebruiken OAuth om deze informatie namens jou uit te wisselen zonder de aanmeldingsgegevens van je bank aan de app door te geven.
Een ander OAuth voorbeeld kan zijn dat je een ontwikkelaar bent die GitHub gebruikt en je hoort dat er een app van een derde partij beschikbaar is die kan integreren met je account om geautomatiseerde codebeoordelingen uit te voeren. Je gaat naar de GitHub Marketplace en downloadt de app. Vervolgens wordt je gevraagd om een verbinding met de app te autoriseren met behulp van je GitHub-identiteit, een proces dat wordt verwerkt met OAuth. De beoordelings-app kan vervolgens toegang krijgen tot je code zonder dat je je elke keer bij beide services hoeft aan te melden.
Wat is het verschil tussen OAuth 1.0 en OAuth 2.0?
De oorspronkelijke OAuth 1.0 is alleen ontwikkeld voor websites. Het wordt tegenwoordig niet veel meer gebruikt omdat OAuth 2.0 is ontworpen voor zowel apps als websites, en het is daarnaast sneller en eenvoudiger te implementeren. OAuth 1.0 kan niet schalen zoals OAuth 2.0 en heeft slechts drie mogelijke autorisatiestromen in vergelijking met de zes van OAuth 2.0.
Als je van plan bent om OAuth te gebruiken,kun je het beste versie 2.0 vanaf het begin gebruiken. OAuth 1.0 kan helaas niet worden bijgewerkt naar OAuth 2.0. OAuth 2.0 was bedoeld als radicaal herontwerp van OAuth 1.0 en verschillende grote tech-bedrijven hebben feedback gegeven over het ontwerp. Een website kan zowel OAuth 1.0 als OAuth 2.0 ondersteunen, maar de makers wilden dat 2.0 1.0 volledig zou vervangen.
OAuth versus OIDC
OAuth en Open ID Connect (OIDC) zijn nauw verwante protocollen. Ze zijn vergelijkbaar omdat ze beide een rol spelen bij het verlenen van toegang tot resources van een andere toepassing namens een gebruiker. Het verschil is dat OAuth wordt gebruikt voor de autorisatie van toegang tot resources en OIDC voor verificatie van de identiteit van een persoon. Beide spelen een rol bij het mogelijk maken dat twee niet-gerelateerde apps informatie delen zonder de gebruikersgegevens te compromitteren.
Id-providers gebruiken doorgaans OAuth 2.0 en OIDC samen. OIDC is speciaal ontwikkeld om de mogelijkheden van OAuth 2.0 te verbeteren door er een identiteitslaag aan toe te voegen. Aangezien het gebouwd is op OAuth 2.0, is OIDC niet geschikt voor OAuth 1.0.
Aan de slag met OAuth
Het gebruik van OAuth 2.0 met je websites en apps kan de gebruikers- of werknemerservaring aanzienlijk verbeteren doordat het identiteitsverificatieproces wordt vereenvoudigd. Je investeert in een oplossing voor id-providers, zoals Microsoft Entra, hiermee worden gebruikers en gegevens beschermd met ingebouwde beveiliging, om aan de slag te gaan.
Microsoft Entra ID (voorheen Azure Active Directory) ondersteunt alle OAuth 2.0-stromen. App-ontwikkelaars kunnen ID gebruiken als verificatieprovider op basis van standaarden om te helpen moderne identiteitsmogelijkheden op ondernemingsniveau te integreren in apps. IT-beheerders kunnen deze gebruiken om de toegang te beheren.
Krijg meer informatie over Microsoft Beveiliging
-
Verken Microsoft Entra
Bescherm identiteiten en beveilig de toegang in clouds met een holistische serie oplossingen.
-
Microsoft Entra ID (voorheen Azure Active Directory)
Beveilig de toegang tot resources en gegevens met behulp van sterke verificatie en op risico's gebaseerde adaptieve toegang.
-
Vertrouwen inbouwen in je apps
Implementeer eenmalige aanmelding zodat werknemers met één referentie toegang hebben tot alle resources die ze nodig hebben.
-
Stroomlijn aanmeldingservaringen
Implementeer eenmalige aanmelding zodat werknemers met één referentie toegang hebben tot alle resources die ze nodig hebben.
-
Beveilig tegen aanvallen
Gebruik meervoudige verificatie om de beveiliging voor de resources van je organisatie te verbeteren.
-
Gebruik OAuth om de toegang tot e-mailgegevens te vereenvoudigen
Meer informatie over het verifiëren van verbindingen met toepassingen met behulp van verouderde protocollen.
Veelgestelde vragen
-
OAuth staat voor Open Authorization en is een technologische standaard waarmee je de ene app of service toestemming geeft voor aanmelding bij een andere app of service zonder persoonlijke gegevens, zoals wachtwoorden, openbaar te maken. Wanneer een app je om autorisatie vraagt om je profielgegevens te zien, gebruikt de app OAuth.
-
OAuth werkt door toegangstokens uit te wisselen, gegevensdeeltjes die informatie bevatten over de gebruiker en de resource waarvoor het token is bedoeld. De ene app of website wisselt versleutelde informatie uit met een andere app of website over een gebruiker en bevat specifieke regels voor het delen van gegevens. Er kunnen ook regels zijn die bepalen wanneer de toepassing dat token kan gebruiken met een vervaldatum. Het OAuth-proces is voornamelijk een machine-naar-machine-interactie met slechts enkele contactpunten voor de gebruiker, als die al voorkomen.
-
Veel bedrijven gebruiken OAuth om de toegang tot apps en websites van derden te vereenvoudigen zonder hun gebruikerswachtwoorden of gevoelige gegevens openbaar te maken. Google, Amazon, Microsoft, Facebook en Twitter gebruiken het allemaal om informatie over hun accounts te delen voor een groot aantal doeleinden, waaronder het vereenvoudigen van aankopen. Het Microsoft identity platform gebruikt OAuth om machtigingen te autoriseren voor werk- en schoolaccounts, persoonlijke accounts, sociale accounts en gamingaccounts.
-
OAuth en Open ID Connect (OIDC) zijn nauw verwante protocollen. Ze zijn vergelijkbaar omdat ze beide een rol spelen bij het verlenen van toegang tot resources van een andere toepassing namens een gebruiker. Het verschil is echter dat OAuth wordt gebruikt voor autorisatie voor toegang tot resources, terwijl OIDC wordt gebruikt voor verificatie van de identiteit van een persoon. Beide spelen een rol bij het mogelijk maken dat twee niet-gerelateerde apps informatie delen zonder de gebruikersgegevens te compromitteren.
-
Er zijn veel verschillen tussen OAuth 1.0 en OAuth 2.0 omdat OAuth 2.0 is ontworpen als een ingrijpend herontwerp van OAuth 1.0, waardoor deze laatste bijna overbodig is geworden. OAuth 1.0 is alleen ontwikkeld voor websites, terwijl OAuth 2.0 is ontworpen voor zowel apps als websites. OAuth 2.0 is sneller en eenvoudiger te implementeren, kan worden geschaald en heeft zes mogelijke autorisatiestromen vergeleken met de drie van OAuth 1.0.
Microsoft 365 volgen