Autorisierungsframeworks und -protokolle

Moderne IT-Systeme nutzen verschiedene Autorisierungsframeworks und -protokolle, um den Zugriff auf Ressourcen zu verwalten und die Sicherheit zu gewährleisten. Diese Frameworks und Protokolle bieten standardisierte Methoden zur Autorisierung und sind in vielen Anwendungen und Diensten weit verbreitet.

OAuth 2.0

Grundprinzipien:

• OAuth 2.0 ist ein Autorisierungsframework, das Benutzern ermöglicht, einer Anwendung Zugriff auf ihre Ressourcen zu gewähren, ohne ihre Anmeldedaten preiszugeben.
• Es arbeitet mit Access Tokens, die temporären Zugriff auf Ressourcen bieten.

Hauptflüsse (Flows):

1. Authorization Code Flow:

   • Wird häufig für serverseitige Anwendungen verwendet.
   • Der Benutzer authentifiziert sich bei einem Autorisierungsserver, der einen Autorisierungscode an die Anwendung zurückgibt. Die Anwendung tauscht diesen Code gegen ein Access Token aus.

2. Implicit Flow:

   • Geeignet für clientseitige Anwendungen (z.B. Single-Page-Apps).
   • Der Benutzer erhält direkt ein Access Token, ohne dass ein Autorisierungscode verwendet wird.

3. Resource Owner Password Credentials Flow:

   • Der Benutzer gibt seine Anmeldedaten direkt an die Anwendung weiter.
   • Diese Methode sollte nur in vertrauenswürdigen Umgebungen verwendet werden.

4. Client Credentials Flow:

   • Wird für maschinelle Authentifizierung verwendet (z.B. zwischen Servern).
   • Die Anwendung authentifiziert sich selbst beim Autorisierungsserver, um ein Access Token zu erhalten.

Beispiel für einen Authorization Code Flow:

1. Benutzeranfrage:

   • Der Benutzer klickt auf „Login with OAuth“.

2. Autorisierungsanfrage:

   • Die Anwendung leitet den Benutzer zum Autorisierungsserver weiter.
   • URL: https://auth.example.com/authorize?response_type=code&client_id=123&redirect_uri=https://app.example.com/callback

3. Autorisierungscode:

   • Nach erfolgreicher Authentifizierung erhält die Anwendung einen Autorisierungscode.
   • Beispiel: https://app.example.com/callback?code=abc123

4. Token-Anfrage:

   • Die Anwendung tauscht den Autorisierungscode gegen ein Access Token aus.
   • Anfrage an den Token-Endpunkt: https://auth.example.com/token

5. Token-Antwort:

   • Der Autorisierungsserver gibt ein Access Token zurück.
   • Beispiel: { "access_token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...", "token_type": "Bearer", "expires_in": 3600 }

OpenID Connect

Grundprinzipien:

• OpenID Connect erweitert OAuth 2.0 um Authentifizierungsfunktionen.
• Es fügt ein ID Token hinzu, das Informationen über den Benutzer enthält.

ID Token:

• Ein JWT (JSON Web Token), das Informationen wie die Benutzer-ID, Ausstellungszeit und Ablaufzeit enthält.
• Beispiel für ein ID Token: