OAuth 2.0 là gì? Cách thức hoạt động và lợi ích của OAuth 2.0

3067

11-09-2024

OAuth 2.0 là gì? Cách thức hoạt động và lợi ích của OAuth 2.0

OAuth 2.0 là một khuôn khổ ủy quyền giúp người dùng chia sẻ dữ liệu giữa các ứng dụng một cách an toàn. Đây là tiêu chuẩn ngành công nghiệp giải quyết các vấn đề bảo mật API liên quan đến việc chia sẻ thông tin đăng nhập của người dùng. Vậy OAuth là gì thì hãy cùng Bizfly Cloud tìm hiểu ngay qua bài viết đưới dây.

Lịch sử phát triển của OAuth 2.0

Mỗi ngày, hàng triệu người tương tác với nhiều ứng dụng và chia sẻ dữ liệu giữa chúng. Ví dụ, một người dùng ứng dụng theo dõi sức khỏe muốn sử dụng ứng dụng lập kế hoạch bữa ăn mới để giám sát lượng dinh dưỡng và calo tiêu thụ. Ứng dụng lập kế hoạch bữa ăn có thể yêu cầu người dùng chia sẻ dữ liệu từ ứng dụng theo dõi sức khỏe để tạo trải nghiệm cá nhân hóa hơn. Mặc dù tích hợp này mang lại nhiều lợi ích, nó cũng đi kèm với nhiều rủi ro về bảo mật:

Lộ thông tin đăng nhập người dùng: Trước đây, người dùng cần chia sẻ tên đăng nhập và mật khẩu của họ cho ứng dụng lập kế hoạch bữa ăn, điều này tạo ra rủi ro an ninh thông tin đáng kể. Ví dụ, ứng dụng lập kế hoạch bữa ăn có thể lưu trữ thông tin đăng nhập của người dùng một cách không an toàn, khiến chúng dễ bị tấn công nếu có sự cố rò rỉ dữ liệu.
Phạm vi truy cập: Trước khi có OAuth, ứng dụng lập kế hoạch bữa ăn có thể truy cập vào dữ liệu mà người dùng không muốn chia sẻ. Ví dụ, người yêu thích tập thể dục trong ví dụ này có thể muốn chia sẻ lịch sử tập luyện của họ với ứng dụng lập kế hoạch bữa ăn, nhưng không phải tuổi, địa chỉ email, nghề nghiệp hay vị trí của họ.
Không thể thu hồi quyền truy cập: Trước khi có OAuth, người dùng không thể dễ dàng hạn chế hay thu hồi quyền truy cập dữ liệu sức khỏe của ứng dụng lập kế hoạch bữa ăn. Dù người dùng có thể thay đổi mật khẩu ứng dụng theo dõi sức khỏe, điều này sẽ ảnh hưởng đến tất cả các ứng dụng bên thứ ba mà họ đã ủy quyền trước đó.

OAuth, bắt đầu như một nỗ lực cộng đồng vào năm 2007 và hiện đang được phát triển và bảo trì bởi Internet Engineering Task Force (IETF), đã giải quyết những thách thức này thông qua cơ chế ủy quyền dựa trên token. Bằng cách giới thiệu token làm phương tiện cấp quyền truy cập, OAuth đã loại bỏ nhu cầu phải chia sẻ thông tin đăng nhập thực sự của người dùng với các ứng dụng bên thứ ba. Nó cũng cho phép người dùng xác định cụ thể phạm vi truy cập khi cấp quyền, đảm bảo rằng các ứng dụng chỉ truy cập vào các tài nguyên cần thiết. Hơn nữa, OAuth cho phép người dùng ủy quyền rõ ràng cho các ứng dụng thực hiện các hành động cụ thể và có thể thu hồi quyền truy cập bất cứ lúc nào, trao quyền cho họ trong việc kiểm soát dữ liệu và quyền riêng tư của mình.

Cách thức hoạt động của OAuth 2.0

Trước khi bạn có thể hiểu OAuth 2.0 hoạt động như thế nào, bạn cần phải biết đến bốn vai trò cụ thể tham gia vào quy trình làm việc của OAuth 2.0. Những vai trò này là:

Chủ sở hữu tài nguyên: Đây là người dùng đang cấp quyền truy cập dữ liệu của họ cho bên thứ ba.
Client: Đây là ứng dụng bên thứ ba yêu cầu truy cập dữ liệu của chủ sở hữu tài nguyên. Khi chủ sở hữu tài nguyên cấp quyền truy cập, client nhận được một token truy cập có thể được sử dụng để yêu cầu tài nguyên trong phạm vi đã được cấp phép.
Máy chủ ủy quyền: Máy chủ ủy quyền đóng vai trò trung gian giữa client, chủ sở hữu tài nguyên và máy chủ tài nguyên bằng cách phát hành token truy cập cho client sau khi chủ sở hữu tài nguyên chấp thuận yêu cầu.
Máy chủ tài nguyên: Đây là máy chủ lưu trữ các tài nguyên được bảo vệ. Nó chịu trách nhiệm tiếp nhận và phản hồi các yêu cầu truy cập vào tài nguyên được bảo vệ bằng cách sử dụng token truy cập.

OAuth 2.0 cho phép chủ sở hữu tài nguyên (nghĩa là người dùng) cấp quyền truy cập cho client (nghĩa là ứng dụng bên thứ ba) vào dữ liệu của họ mà không cần phải chia sẻ thông tin đăng nhập của mình. Thay vào đó, thông tin đăng nhập được chia sẻ với máy chủ ủy quyền, người sau đó phát hành một token truy cập cho client. Client có thể sử dụng token truy cập này để lấy dữ liệu của người dùng từ máy chủ tài nguyên.

Hãy khám phá cách thức này hoạt động với ví dụ trong phần trước. Trong bối cảnh OAuth, ứng dụng lập kế hoạch bữa ăn mới là client; nó muốn truy cập vào dữ liệu của người dùng từ ứng dụng theo dõi sức khỏe. Ứng dụng theo dõi sức khỏe có cả một máy chủ tài nguyên và một máy chủ ủy quyền ủy quyền truy cập vào máy chủ tài nguyên.

Vì ứng dụng lập kế hoạch bữa ăn là client, nó sẽ hiển thị cho người dùng lựa chọn nhập dữ liệu lịch sử tập luyện từ ứng dụng theo dõi sức khỏe. Nếu người dùng quyết định tiếp tục, họ sẽ được chuyển hướng đến ứng dụng theo dõi sức khỏe, nơi họ sẽ được yêu cầu nhập tên đăng nhập và mật khẩu của mình. Nếu người dùng đăng nhập thành công vào ứng dụng theo dõi sức khỏe, họ sẽ thấy một màn hình nơi họ có thể xem xét dữ liệu mà client muốn truy cập. Nếu người dùng đồng ý với phạm vi truy cập được yêu cầu, họ sẽ ủy quyền yêu cầu đó. Sau đó, người dùng sẽ được chuyển hướng trở lại ứng dụng lập kế hoạch bữa ăn, nơi dữ liệu lịch sử tập luyện từ ứng dụng theo dõi sức khỏe sẽ hiển thị.

Dưới đây là bản tóm tắt từng bước của những gì diễn ra "phía sau hậu trường":

Client (ứng dụng lập kế hoạch bữa ăn) yêu cầu người dùng cấp quyền truy cập vào tài nguyên của họ trên máy chủ tài nguyên của ứng dụng theo dõi sức khỏe.
Người dùng cấp quyền truy cập cho client qua máy chủ ủy quyền bằng cách đăng nhập vào ứng dụng theo dõi sức khỏe với thông tin đăng nhập của họ. Thông tin này không được chia sẻ với client. Thay vào đó, một mã ủy quyền được tạo ra và chia sẻ với client.
Client sử dụng mã ủy quyền này để yêu cầu một token truy cập từ một điểm cuối được cung cấp bởi máy chủ ủy quyền.
Máy chủ ủy quyền tạo và trả lại token truy cập, mà client có thể sử dụng để truy cập vào tài nguyên của người dùng trên máy chủ tài nguyên.
Client gửi token truy cập đến máy chủ tài nguyên để yêu cầu truy cập vào tài nguyên của người dùng.
Máy chủ tài nguyên xác nhận token truy cập với máy chủ ủy quyền. Nếu token hợp lệ, nó sẽ cấp quyền truy cập cho client vào tài nguyên của người dùng.

Sự khác biệt giữa Token Truy Cập và Token Làm Mới trong OAuth

Như đã thảo luận ở trên, máy chủ ủy quyền cấp một token truy cập cho client sau khi người dùng chấp thuận yêu cầu. Sau đó, client sử dụng token truy cập này để lấy dữ liệu của người dùng từ máy chủ tài nguyên. Token truy cập có thể được lưu trữ ở các định dạng khác nhau, phổ biến nhất là định dạng JWT (JSON Web Token). Định dạng này cho phép token chứa dữ liệu được mã hóa, có thể được lấy ra một cách an toàn trước khi token hết hạn.

Token truy cập thường có thời hạn ngắn và do đó cần được tạo mới khi hết hạn. Token làm mới được sử dụng để lấy token truy cập mới và thường có thời hạn dài hơn token truy cập. Tuy nhiên, không phải tất cả các nhà cung cấp OAuth đều phát hành token làm mới.

Cấp Ủy Quyền là gì và Các Loại Chính là gì?

Cấp ủy quyền là một thông tin chứng thực đại diện cho sự đồng ý của người dùng cấp quyền cho client truy cập vào tài nguyên được bảo vệ trên máy chủ tài nguyên. Một khi client nhận được cấp ủy quyền, nó có thể được đổi lấy token truy cập. OAuth 2.0 định nghĩa bốn loại cấp ủy quyền chính:

Cấp Ủy Quyền Mã

Trong ví dụ ở trên, chúng tôi đã đề cập rằng máy chủ ủy quyền tạo ra một mã và chia sẻ nó với client sau khi người dùng đăng nhập thành công. Mã này, được gọi là "mã ủy quyền," là loại cấp ủy quyền an toàn và phổ biến nhất. Nó bao gồm một quy trình hai bước. Đầu tiên, client điều hướng người dùng đến máy chủ ủy quyền, nơi người dùng đăng nhập và cấp quyền. Sau đó, máy chủ ủy quyền cung cấp mã ủy quyền cho client. Trong bước thứ hai, client đổi mã ủy quyền lấy token truy cập và, tùy chọn, token làm mới.

Cấp Ủy Quyền Ngầm

Cấp ủy quyền ngầm được thiết kế cho các ứng dụng dựa trên trình duyệt, chẳng hạn như các ứng dụng web một trang. Trong luồng này, token truy cập được trả về trực tiếp cho client từ điểm cuối ủy quyền, không qua quá trình đổi mã ủy quyền. Điều này làm đơn giản hóa luồng nhưng làm cho token dễ bị lộ, vì nó có thể được ghi lại trong lịch sử trình duyệt hoặc bị các tác nhân xấu chặn lại. Do đó, nó không được khuyến nghị và đã bị loại bỏ trong OAuth 2.0.

Cấp Ủy Quyền Tài Khoản Mật Khẩu Chủ Sở Hữu Tài Nguyên (ROPC)

Trong loại cấp ủy quyền này, thông tin đăng nhập của chủ sở hữu tài nguyên được chia sẻ trực tiếp với client, và client sử dụng thông tin này để lấy token truy cập từ máy chủ ủy quyền mỗi khi cần. Vì ROPC liên quan đến việc chia sẻ trực tiếp thông tin đăng nhập của người dùng, nó kém an toàn hơn và chỉ nên được sử dụng khi chủ sở hữu tài nguyên có mức độ tin tưởng cao vào client.

Cấp Ủy Quyền Của Client

Loại cấp ủy quyền này được sử dụng để lấy token truy cập khi một ứng dụng client (thường

là ứng dụng phía máy chủ) đang yêu cầu truy cập vào các tài nguyên của chính nó. Loại cấp ủy quyền này thích hợp khi ứng dụng client là chủ sở hữu tài nguyên và cần truy cập vào một tài nguyên được bảo vệ mà nó sở hữu hoặc kiểm soát.

Những Lợi Ích của OAuth 2.0

OAuth 2.0 mang lại nhiều lợi ích đã khiến nó trở thành tiêu chuẩn vàng cho việc ủy quyền trên các công ty công nghệ lớn, ứng dụng mạng xã hội, ứng dụng tài chính, và nhiều hơn nữa. Những lợi ích này bao gồm:

Luồng Ủy Quyền Đơn Giản: OAuth 2.0 sử dụng một luồng ủy quyền đơn giản dễ thực hiện, làm cho nó dễ tiếp cận hơn đối với các nhà phát triển. Nó sử dụng token truy cập cho việc ủy quyền, giúp nó mở rộng quy mô và hiệu suất cao trong các hệ thống lớn.
Nhiều Loại Token Truy Cập: OAuth 2.0 cho phép sử dụng các loại token truy cập khác nhau, cho phép thực hiện các cơ chế bảo mật và thời hạn token dựa trên yêu cầu cụ thể của các ứng dụng.
Quyền Kiểm Soát của Người Dùng: OAuth 2.0 cho phép người dùng kiểm soát dữ liệu của họ và mức độ truy cập được cấp cho các ứng dụng client. Người dùng có thể chọn các tài nguyên nào mà ứng dụng client có thể truy cập, và họ có thể thu hồi quyền truy cập bất cứ lúc nào, nâng cao quyền riêng tư và niềm tin của người dùng.
Tiêu Chuẩn Hóa và Sự Chấp Nhận Rộng Rãi trong Ngành: OAuth 2.0 đã được các công ty công nghệ lớn, nền tảng mạng xã hội và các nhà cung cấp dịch vụ chấp nhận rộng rãi, trở thành tiêu chuẩn ngành cho việc ủy quyền. Hệ sinh thái OAuth cũng bao gồm nhiều thư viện, công cụ và khung làm việc giúp việc tích hợp và thực thi dễ dàng hơn cho các nhà phát triển trên nhiều ngôn ngữ lập trình và nền tảng.
Ủy Quyền cho API: OAuth 2.0 được sử dụng rộng rãi để bảo mật API, cho phép các nhà phát triển cấp quyền kiểm soát truy cập cụ thể vào các tài nguyên cụ thể trong khi đảm bảo an ninh và tuân thủ pháp luật.

Những Thực Hành Tốt Khi Làm Việc Với OAuth 2.0

Khi thực hiện OAuth 2.0, điều cần thiết là tuân thủ các thực hành tốt sau để bảo vệ ứng dụng và bảo vệ dữ liệu người dùng:

Sử Dụng Token Truy Cập Có Thời Hạn Ngắn: Hạn chế thời hạn của token truy cập giúp hạn chế thiệt hại nếu chúng bị xâm phạm. Token làm mới cho phép các client hợp pháp lấy token truy cập mới mà không cần sự can thiệp của người dùng.
Giới Hạn Phạm Vi Token: Token truy cập nên luôn có phạm vi nhỏ nhất cần thiết cho chức năng cụ thể của ứng dụng.
Bảo Vệ Ứng Dụng Khỏi Các Mô Thức Tấn Công Phổ Biến: Việc áp dụng các biện pháp đủ độ để giảm thiểu sự dễ bị tấn công của hệ thống là quan trọng. Ví dụ, sử dụng tham số state khi khởi tạo một yêu cầu ủy quyền - và xác nhận giá trị được trả lại với giá trị ban đầu - có thể giúp bảo vệ chống lại các cuộc tấn công CSRF (Cross-Site Request Forgery). Bạn cũng nên thực hiện giới hạn tần suất, điều này sẽ giúp ngăn chặn các cuộc tấn công từ chối dịch vụ (DoS).
Xử Lý Token Truy Cập Một Cách An Toàn: Token truy cập nên được gửi trong tiêu đề yêu cầu khi client đang yêu cầu một tài nguyên từ máy chủ tài nguyên. Chúng không nên được lưu trữ dưới dạng cookie hoặc truyền qua tham số truy vấn. Ngoài ra, máy chủ ủy quyền phải bao gồm trường tiêu đề phản hồi HTTP "Cache-Control" với giá trị "no-store" trong bất kỳ phản hồi nào chứa token, thông tin chứng thực, hoặc thông tin nhạy cảm khác, cũng như trường tiêu đề phản hồi "Pragma" với giá trị "no-cache".
Cho Phép Người Dùng Thu Hồi Quyền Truy Cập vào Dữ Liệu của Họ: OAuth 2.0 được thiết kế theo cách mà chủ sở hữu tài nguyên có quyền kiểm soát hoàn toàn dữ liệu của họ. Do đó, việc cung cấp một cơ chế để thu hồi token là quan trọng sao cho người dùng có thể chặn truy cập không mong muốn.
Cung Cấp Tài Liệu Rõ Ràng: Nếu bạn đang cung cấp quyền truy cập OAuth vào dữ liệu của người dùng, việc cung cấp tài liệu rõ ràng, súc tích và chi tiết cho toàn bộ luồng OAuth là cần thiết. Điều này sẽ giúp tăng tốc quá trình làm quen và tăng tỷ lệ chấp nhận.

Những Thách Thức Khi Thực Thi OAuth 2.0

Mặc dù OAuth 2.0 mang lại nhiều lợi ích, nó vẫn đặt ra một số thách thức mà các nhà phát triển cần xem xét để đảm bảo một triển khai thành công. Những thách thức này bao gồm:

Phức Tạp: OAuth 2.0 là một khuôn khổ ủy quyền phức tạp bao gồm nhiều thành phần và tương tác. Việc hiểu những thành phần này có thể là một thách thức, đặc biệt là đối với những nhà phát triển mới làm quen với giao thức. Ví dụ, việc triển khai một máy chủ ủy quyền OAuth 2.0 bao gồm việc cấu hình các điểm cuối, phạm vi và đăng ký client, trở nên càng phức tạp hơn khi có nhiều client và yêu cầu kiểm soát truy cập khác nhau.
Quản Lý Token An Toàn: An ninh token là thiết yếu cho một triển khai OAuth thành công, vì quản lý token không đúng cách có thể dẫn đến rò rỉ token hoặc tấn công tiêm token. Người thực hiện cần phải xử lý việc lưu trữ token, hết hạn và thu hồi token, làm mới token và xác nhận sử dụng token, tất cả đều có thể khó để thực hiện đúng.
Trải Nghiệm Người Dùng: Quy trình người dùng điển hình cho OAuth 2.0 bao gồm nhiều bước, do đó việc duy trì một trải nghiệm người dùng mượt mà và trực quan là quan trọng để ngăn chặn sự giảm sút. Điều này có thể trở nên thách thức, đặc biệt là khi xử lý lỗi, thiết kế màn hình đồng ý, và làm việc trên các đại lý người dùng khác nhau (tức là trình duyệt web và ứng dụng di động).
Khả Năng Tương Thích và Giao Tiếp: OAuth 2.0 đã được chấp nhận rộng rãi và có rất nhiều thư viện, khung làm việc và triển khai có sẵn. Tuy nhiên, việc đảm bảo khả năng tương thích và giao tiếp giữa các triển khai và nhà cung cấp OAuth 2.0 khác nhau có thể là một thách thức. Do đó, việc kiểm tra và xác nhận triển khai của bạn đối với các máy chủ ủy quyền và ứng dụng client khác nhau là rất quan trọng.