Autentisering og autorisasjon

I virksomhetsapper er sikkerhet avgjørende! Vi må vite hvem som bruker appen, og hva de kan gjøre.

Denne leksjonen tar for seg autentisering (bekreftelse av identitet) og autorisasjon (tildeling av tilgang).

Autentisering er prosessen med å bekrefte identiteten til en bruker. Tenk på det som å bevise at du er den du utgir deg for å være.

• Vanlige metoder: Brukernavn/passord, biometri (Face ID/Touch ID) og sikkerhetstokener.
• En vellykket autentisering betyr at systemet stoler på brukerens identitet.

Når brukeren er autentisert, avgjør autorisasjon hvilke handlinger brukeren har lov til å utføre, og hvilke data vedkommende har tilgang til.

• En bruker med rollen «admin» kan for eksempel se alle rapporter, mens en «vanlig» bruker bare ser sine egne.
• Det handler om tillatelser, ikke identitet.

Etter autentisering utsteder servere ofte et token (som en digital nøkkel) til appen. Dette tokenet sendes deretter med påfølgende forespørsler.

Tokenene inneholder identitets- og autorisasjonsinformasjon på en sikker måte, slik at du slipper å autentisere på nytt for hver handling.

OAuth 2.0 er en bransjestandardprotokoll for delegert autorisasjon. Den lar brukere gi nettsteder eller applikasjoner tilgang til informasjonen sin på andre nettsteder uten å oppgi passordet sitt.

• Det er IKKE en autentiseringsprotokoll i seg selv, men brukes ofte sammen med OpenID Connect (OIDC) til autentisering.
• Brukes ofte til funksjoner som «Logg inn med Google/Facebook».

For å forstå OAuth 2.0 må du kjenne til fire viktige roller:

• Ressurseier: Brukeren som eier dataene (deg!).
• Klient: Applikasjonen som ber om tilgang (mobilappen din).
• Autorisasjonsserver: Bekrefter identiteten til ressurseieren og utsteder tilgangstokener.
• Ressursserver: Inneholder de beskyttede dataene eller ressursene og godtar tilgangstokener.

For mobilapper er Authorization Code Flow with PKCE (Proof Key for Code Exchange) den sikreste grant-typen i OAuth 2.0.

• Appen omdirigerer brukeren til autorisasjonsserveren.
• Brukeren logger inn og gir tillatelse.
• Autorisasjonsserveren sender en autorisasjonskode tilbake til appen.
• Appen bytter koden mot et tilgangstoken (og ofte et fornyelsestoken).

iOS tilbyr rammeverk som forenkler integrering av OAuth 2.0, spesielt for ekstern nettbasert autentisering:

• SFSafariViewController: Viser nettinnhold i appen og deler informasjonskapsler med Safari.
• ASWebAuthenticationSession: En mer moderne og sikker måte å autentisere brukere via nettjenester på, med automatisk håndtering av omdirigeringer og deling av autentiseringstilstand.

Disse hindrer appen i å håndtere sensitive brukeropplysninger direkte.

Single Sign-On (SSO) lar brukere autentisere seg én gang og få tilgang til flere uavhengige programvaresystemer uten å måtte autentisere seg på nytt.

• Dette er avgjørende i virksomhetsmiljøer for produktivitet og sikkerhet.
• Eksempler: Logge inn i alle virksomhetens apper med firmapåloggingsinformasjonen din (for eksempel Active Directory, Okta eller Azure AD).

Integrering av SSO i Objective-C-apper innebærer ofte bruk av identitetsleverandører for virksomheter (IdP-er) som støtter standarder som SAML eller OpenID Connect (OIDC).

• Mange IdP-er tilbyr SDK-er for iOS for å forenkle integreringen.
• Appen omdirigerer vanligvis til en påloggingsside for virksomheten (ofte i en sikker nettvisning), og mottar deretter et token når autentiseringen er vellykket.

Du har lært om de viktige forskjellene mellom autentisering (hvem du er) og autorisasjon (hva du kan gjøre).

Vi gikk gjennom OAuth 2.0 for delegert autorisasjon og de viktigste komponentene, blant annet den sikre Authorization Code Flow for mobilapper.

Til slutt så vi på Single Sign-On (SSO) for forenklet tilgang til virksomhetssystemer i Objective-C-apper.