De basis van OAuth2 en JWT

Bij het bouwen van toepassingen, vooral toepassingen met REST-API's, is beveiliging van het grootste belang. Je stelt gegevens en functionaliteit beschikbaar die bescherming nodig hebben.

Zonder goede beveiliging kan je API kwetsbaar zijn voor ongeautoriseerde toegang, datalekken of kwaadaardige aanvallen. Deze les legt de basis voor het beveiligen van je services.

Laten we eerst twee belangrijke termen verduidelijken:

• Authenticatie (AuthN): controleren wie een gebruiker of client is. Zie het als het tonen van je identiteitsbewijs om je identiteit te bewijzen.
• Autorisatie (AuthZ): bepalen wat een geauthenticeerde gebruiker of client mag doen. Dit is vergelijkbaar met een portier die je ticket controleert om te zien of je een bepaald gebied binnen mag.

OAuth2 richt zich voornamelijk op autorisatie.

OAuth2 (Open Authorization 2.0) is een protocol voor autorisatie dat in de sector als standaard geldt. Hiermee kan een toepassing van derden (de 'client') namens een gebruiker (de 'resource owner') beperkte toegang verkrijgen tot een HTTP-service (de 'resource server').

Belangrijk is dat OAuth2 deze toegang mogelijk maakt zonder dat de gebruiker zijn inloggegevens (gebruikersnaam en wachtwoord) rechtstreeks met de clienttoepassing hoeft te delen.

OAuth2 definieert vier hoofdrollen die tijdens het autorisatieproces met elkaar communiceren:

• Resource Owner: de gebruiker die eigenaar is van de beveiligde resources.
• Client: de toepassing die toegang vraagt tot de beveiligde resources van de resource owner.
• Authorization Server: de server die de resource owner authenticeert en toegangstokens aan de client verstrekt.
• Resource Server: de server waarop de beveiligde resources staan en die met toegangstokens aanvragen om beveiligde resources kan accepteren en beantwoorden.

OAuth2 gebruikt verschillende 'grant types' (ook wel flows genoemd) om een access token uit te geven. Een access token is een legitimatie die de client toegang geeft tot specifieke resources op de resource server.

De keuze van het grant type hangt af van het type client (bijvoorbeeld webtoepassing, mobiele app of servertoepassing) en de beveiligingsvereisten ervan. De Authorization Code Flow wordt veel gebruikt voor traditionele webtoepassingen.

Een JSON Web Token (JWT), uitgesproken als 'jot', is een compacte, URL-veilige manier om claims weer te geven die tussen twee partijen worden overgedragen. Deze claims zijn stukjes informatie over een entiteit (meestal de gebruiker) en aanvullende metagegevens.

JWT's worden vaak gebruikt als indeling voor toegangstokens in OAuth2. Ze bieden een zelfstandige manier om informatie over de gebruiker en diens machtigingen veilig te verzenden.

Een JWT bestaat uit drie delen, gescheiden door punten (.):

• Header: bevat metagegevens over het token zelf, zoals het type token (JWT) en het gebruikte ondertekeningsalgoritme (bijvoorbeeld HMAC SHA256 of RSA).
• Payload: bevat de 'claims': verklaringen over een entiteit (zoals een gebruiker) en aanvullende gegevens. Claims kunnen geregistreerd (gestandaardiseerd), openbaar of privé zijn.
• Signature: wordt gebruikt om te controleren of de afzender van de JWT is wie deze beweert te zijn en of er niet met het bericht is geknoeid. De handtekening wordt gemaakt met de header, de payload en een geheime sleutel.

Zo kan een typische JWT eruitzien. Elk deel is gecodeerd met Base64Url:

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9
.
eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ
.
SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

• Het eerste deel is de Header.
• Het tweede deel is de Payload.
• Het derde deel is de Signature.

Deze delen worden afzonderlijk gecodeerd en met punten samengevoegd.

De header en payload van een JWT zijn eenvoudigweg als Base64Url gecodeerde JSON. Dat betekent dat iedereen ze gemakkelijk kan decoderen om de inhoud te lezen. De beveiliging komt van de signature, die de integriteit en authenticiteit van het token controleert.

Probeer een voorbeeldtekenreeks in Base64Url te decoderen in Java:

JWT's bieden verschillende voordelen, vooral in gedistribueerde systemen zoals microservices:

• Statelessness: de server hoeft geen sessiegegevens op te slaan. Elke JWT bevat alle benodigde gebruikersgegevens.
• Schaalbaarheid: omdat tokens zelfstandig zijn, kan elke service ze valideren zonder een centrale sessieopslag, waardoor schalen eenvoudiger wordt.
• Compact en URL-veilig: ze zijn klein en kunnen eenvoudig worden verzonden in URL-parameters, POST-aanvragen of HTTP-headers.
• Zelfstandig: ze bevatten alle informatie over de gebruiker, waardoor bij elke aanvraag minder vaak gegevens uit de database hoeven te worden opgezocht.

In deze les heb je een fundamenteel begrip gekregen van de principes van API-beveiliging. We hebben het verschil vastgesteld tussen Authenticatie (wie je bent) en Autorisatie (wat je mag doen).

Je hebt geleerd over OAuth2 als standaard voor veilige autorisatie, waarmee gecontroleerde toegang tot resources mogelijk wordt. Ook hebben we JSON Web Tokens (JWT's) bekeken en hun structuur en voordelen besproken als compacte, zelfstandige manier om informatie te verzenden. Ze worden vaak gebruikt als toegangstokens binnen OAuth2.