'Wprowadzenie do OAuth 2.0 i OpenID Connect' / Aleksander Żelazny

Do Ubera logujemy się bez problemu wykorzystując konto na gmailu, a Spotify sugeruje osoby warte obserwowania na podstawie naszych znajomych z Facebooka. Skąd mamy jednak pewność, że Uber nie przeczyta naszych maili? Czy Spotify podczas przeglądania naszych znajomych może któregoś z nich usunąć? W trakcie tego wystąpienia opowiem o protokole OAuth 2.0, w jaki sposób gwarantuje on bezpieczeństwo w zależności od typu aplikacji oraz czym tak właściwie różni się od OpenID Connect.

Aleksander Żelazny - Programista Allegro na co dzień zajmujący się sprawami API. Entuzjasta dzielenia się wiedzą i wszystkiego co ciekawe. W czasie wolnym poznaje świat.

Timestamps
0:00 Intro
10:37 Authorization code
23:30 Refresh token
25:34 Implicit grant
26:19 Authorization code grant + PKCE
33:23 Device authorization grant
37:48 Client credentials

[michanielipinski]

10:37 grant type - authorization code
23:30 grant type - refresh token
25:34 grant type - implicit grant
26:19 grant type - Authorization code grant + PKCE
33:23 grant type - device authorization grant
37:48 grant type - client credentials

authorization code - for confidential client, uses secretId in authorization request
refresh token - for refreshing authorization token
implicit grant - deprecated because unsafe client (public client) gets authorization token in response
client credentials - for API actions that don't need to use user context for example accessing public data

[krzysztoflewandowski]

Aleksander kudosy, super wytłumaczone. bardzo bardzo dobry materiał

[kamillatosinski]

Świetnie wyjaśnione! Nie tylko jak, ale też dlaczego w ogóle nam to potrzebne i w jaki sposób jesteśmy potencjalnie narażeni na atak — dzięki!

[ArekTheBoss]

2024AD nagranie dalej jest turbo przydatne bo właśnie przerabiam OAuth za pomocą książki Bezpieczeństwo aplikacji webowych od Sekuraka ;)

[MariuszTomczyk-hrmi]

Czy OAuth może być zastosowany do ataku na czyjeś konto i wyłudzić dane czy nawet całą bezę, a nawet dostępu do kont zewnętrznych?

[MarcinMierzejewskiWAW]

Prezentacja bardzo ok. BTW. Autentykacja to po polsku uwierzytelnianie.

[zespoalwaysclassic]

Na moje oko jest to zbyt skomplikowane, a po co? Ano po to aby wykradać loginy i hasła. Pamiętajcie - najprostrze rozwiązania są najlepsze, w życiu wystarczy login i hasło i nikomu nie wolno go podawać, i nikt nie powinien mieć prawa pytać o nie, a tak sie wlasnie dzieje...

[bboyPrzemek]

Mam pytanie, ten Yelp i to logowanie to to bylo oauth password grant type? Czy to w ogóle co innego było?