Oversikt over grant-typer

Client Credentials-flyten brukes når en klientapplikasjon trenger tilgang til beskyttede ressurser på egne vegne, og ikke på vegne av en bruker.

Ingen bruker er involvert. Den egner seg godt for maskin-til-maskin-kommunikasjon, for eksempel når en backend-tjeneste kaller et API og klienten selv er "ressurseieren".

Historisk ble Implicit-flyten brukt av offentlige klienter, for eksempel single-page-applikasjoner eller mobilapper, som ikke kunne lagre en klienthemmelighet på en sikker måte.

Den returnerer tilgangstokenet direkte til nettleseren via URL-fragmentet. På grunn av sikkerhetsproblemer (lekkasje av token og manglende refresh-token) regnes den nå i stor grad som foreldet og erstattes av Authorization Code-flyten med PKCE.

Denne flyten innebærer at klienten samler inn brukerens brukernavn og passord direkte og sender dem til autorisasjonsserveren for å hente et tilgangstoken.

Den frarådes sterkt generelt, fordi klienten må håndtere sensitive brukeropplysninger, noe som utgjør en betydelig sikkerhetsrisiko. Bruk den bare i svært pålitelige, eldre førstepartsapplikasjoner der ingen andre alternativer finnes.

Når Implicit-flyten er foreldet, hvordan får offentlige klienter, for eksempel mobilapper eller SPA-er, token på en sikker måte?

Authorization Code-flyten med PKCE (Proof Key for Code Exchange) er det moderne svaret. PKCE legger til et kryptografisk beskyttelseslag som gjør Authorization Code-flyten trygg for klienter som ikke kan oppbevare en hemmelighet.

Dette er nå den anbefalte fremgangsmåten for disse klienttypene.

Valg av riktig grant-type avhenger av hva slags applikasjon De har:

• Authorization Code: Sikker for webapper med server. Med PKCE også for mobilapper og SPA-er.
• Client Credentials: For API-tilgang mellom maskiner.
• Implicit: I stor grad foreldet – bør unngås i nyutvikling.
• Resource Owner Password Credentials: Bør unngås på grunn av høy sikkerhetsrisiko.

Uansett hvilken grant-type De bruker, er det endelige målet å få et Access Token.

Et Access Token er en legitimasjon som lar klienten få tilgang til beskyttede ressurser på vegne av brukeren (eller seg selv) fra ressursserveren. Det er vanligvis en kortlivet, ugjennomsiktig streng eller en JWT.

Ulike applikasjonsarkitekturer har forskjellige muligheter til å beskytte sensitiv informasjon.

OAuth2 tilbyr disse separate grant-typene for å gi sikre alternativer til ulike klienter, fra backend-tjenester til nettleserbaserte apper, og sørger for egnede sikkerhetstiltak i hver kontekst.

Vi har utforsket de sentrale grant-typene i OAuth2: Authorization Code (sikrest, for webapper og offentlige klienter med PKCE), Client Credentials (for maskin-til-maskin), Implicit (foreldet) og Resource Owner Password Credentials (frarådes sterkt).

Ved å forstå disse ulike arbeidsflytene kan De velge den sikreste og best egnede metoden for autorisasjonsbehovene i den aktuelle applikasjonen.