OAuth 2.0 en OpenID Connect

OAuth 2.0 definieert verschillende manieren (ook wel 'granttypen' genoemd) waarop een client een toegangstoken kan verkrijgen. De autorisatiecodestroom is de meest gebruikelijke en veilige methode voor webapplicaties.

Het is een proces met meerdere stappen dat ervoor zorgt dat gevoelige inloggegevens (zoals je wachtwoord) niet bij de clientapplicatie terechtkomen, maar rechtstreeks tussen jou en de autorisatieserver blijven.

Laten we stap voor stap bekijken hoe deze veilige stroom werkt.

Het begint allemaal wanneer de Client-applicatie toegang nodig heeft tot de beveiligde resources van een gebruiker (zoals diens agenda). De client stuurt de browser van de Resource-eigenaar door naar de Autorisatieserver.

Deze doorverwijzing bevat:

• De ID van de client (client_id)
• Het type aangevraagde toegang (scope, bijvoorbeeld read:calendar)
• Waar de gebruiker naartoe moet worden teruggestuurd (redirect_uri)

De gebruiker heeft nu rechtstreeks contact met de autorisatieserver.

Op de Autorisatieserver wordt de Resource-eigenaar (jij dus!) gevraagd om in te loggen, als dat nog niet is gebeurd, en vervolgens om te bevestigen of de Client-applicatie de aangevraagde rechten mag krijgen.

Als de toestemming wordt gegeven, stuurt de autorisatieserver de browser van de gebruiker terug naar de vooraf geregistreerde redirect_uri van de Client. Deze doorverwijzing bevat een tijdelijke, eenmalig te gebruiken autorisatiecode.

Deze code is maar kort geldig en geeft op zichzelf geen toegang.

Nu beschikt de Client-applicatie over de autorisatiecode. De client stuurt vervolgens rechtstreeks een server-naar-serververzoek naar het tokeneindpunt van de Autorisatieserver.

In dit verzoek wisselt de client de autorisatiecode in voor:

• Een Access Token
• Optioneel een Refresh Token

Deze rechtstreekse communicatie zorgt ervoor dat het geheim van de client (als die er een heeft) en de tokens nooit in de browser zichtbaar zijn.

Na de uitwisseling heeft de Client twee belangrijke tokens:

• Access Token: Dit is de daadwerkelijke legitimatie die wordt gebruikt om toegang te krijgen tot de Resourceserver. Het token is meestal kort geldig (enkele minuten tot uren) en bevat 'toegangsbereiken' die bepalen wat de client mag doen.
• Refresh Token: Dit is een lang geldige legitimatie die de client gebruikt om een nieuw toegangstoken te verkrijgen wanneer het huidige verloopt, zonder dat de gebruiker zich opnieuw hoeft te authenticeren. De client moet dit token veilig opslaan!

De client gebruikt het Access Token om verzoeken naar de Resourceserver te sturen.

Hoewel OAuth 2.0 uitstekend is voor autorisatie, biedt het niet rechtstreeks gebruikersauthenticatie. Daar komt OpenID Connect (OIDC) om de hoek kijken!

OIDC is een identiteitslaag boven op OAuth 2.0. Hiermee kunnen clients de identiteit van de Resource-eigenaar (de gebruiker) verifiëren en basisinformatie uit diens profiel ophalen.

Zie het als een laag 'wie ben je?' die wordt toegevoegd aan het 'wat mag je doen?' van OAuth.

De kern van OIDC is het ID Token. Dit is een JSON Web Token (JWT) dat claims over de geauthenticeerde gebruiker bevat.

Veelvoorkomende claims zijn:

• sub (subject): Unieke identificatie voor de gebruiker.
• name: Volledige naam van de gebruiker.
• email: E-mailadres van de gebruiker.
• iss (issuer): De URL van de OIDC-provider.
• aud (audience): De client-ID waarvoor het token bedoeld is.

De client verifieert de handtekening van het ID Token om de authenticiteit en integriteit ervan te garanderen.

Goed gedaan! Je hebt de basisprincipes van OAuth 2.0 en OpenID Connect geleerd.

• OAuth 2.0 is een autorisatiefraamework waarmee gedelegeerde toegang tot resources mogelijk wordt.
• Het omvat een Resource-eigenaar, Client, Autorisatieserver en Resourceserver.
• De autorisatiecodestroom is het veiligst voor webapps.
• OpenID Connect bouwt voort op OAuth 2.0 en biedt een identiteitslaag voor gebruikersauthenticatie.
• ID Tokens (JWT's) bevatten claims over de identiteit van de gebruiker, terwijl Access Tokens toegang tot resources verlenen.

Inzicht in deze protocollen is essentieel voor het bouwen van veilige, moderne applicaties!