"Wprowadzenie do OAuth 2.0 i OpenID Connect" / Aleksander Żelazny

Do Ubera logujemy się bez problemu wykorzystując konto na gmailu, a Spotify sugeruje osoby warte obserwowania na podstawie naszych znajomych z Facebooka. Skąd mamy jednak pewność, że Uber nie przeczyta naszych maili? Czy Spotify podczas przeglądania naszych znajomych może któregoś z nich usunąć? W trakcie tego wystąpienia opowiem o protokole OAuth 2.0, w jaki sposób gwarantuje on bezpieczeństwo w zależności od typu aplikacji oraz czym tak właściwie różni się od OpenID Connect.
Aleksander Żelazny - Programista Allegro na co dzień zajmujący się sprawami API. Entuzjasta dzielenia się wiedzą i wszystkiego co ciekawe. W czasie wolnym poznaje świat.
Timestamps
0:00 Intro
10:37 Authorization code
23:30 Refresh token
25:34 Implicit grant
26:19 Authorization code grant + PKCE
33:23 Device authorization grant
37:48 Client credentials

[@ArekTheBoss]

2024AD nagranie dalej jest turbo przydatne bo właśnie przerabiam OAuth za pomocą książki Bezpieczeństwo aplikacji webowych od Sekuraka ;)

[@michanielipinski1482]

10:37 grant type - authorization code 23:30 grant type - refresh token 25:34 grant type - implicit grant 26:19 grant type - Authorization code grant + PKCE 33:23 grant type - device authorization grant 37:48 grant type - client credentials authorization code - for confidential client, uses secretId in authorization request refresh token - for refreshing authorization token implicit grant - deprecated because unsafe client (public client) gets authorization token in response client credentials - for API actions that don't need to use user context for example accessing public data

[@krzysztoflewandowski8262]

Aleksander kudosy, super wytłumaczone. bardzo bardzo dobry materiał

[@mateuszm6162]

ekstra wyjaśnione, dzięki!

[@dl00gi]

Super wyjaśnione! Dzięki

[@KrzysztofTarnawski]

Dobra prezentacja, dzięki.

[@tomaszkleszczewskiJS]

Dzięki, świetny materiał!

[@kamillatosinski3054]

Świetnie wyjaśnione! Nie tylko jak, ale też dlaczego w ogóle nam to potrzebne i w jaki sposób jesteśmy potencjalnie narażeni na atak - dzięki!

[@krzysztoffuczek2033]

Dzieki za dobry film

[@antoniobermuda]

Dobra robota!

[@szymonjol5575]

Fajny filmik

[@finishthecarrot4493]

należy się łapka w górę

[@wawrzyn3059]

sztos

[@MariuszTomczyk-hr6mi]

Czy OAuth może być zastosowany do ataku na czyjeś konto i wyłudzić dane czy nawet całą bezę, a nawet dostępu do kont zewnętrznych?

[@MarcinMierzejewskiWAW]

Prezentacja bardzo ok. BTW. Autentykacja to po polsku uwierzytelnianie.

[@zespoalwaysclassic6756]

Na moje oko jest to zbyt skomplikowane, a po co? Ano po to aby wykradać loginy i hasła. Pamiętajcie - najprostrze rozwiązania są najlepsze, w życiu wystarczy login i hasło i nikomu nie wolno go podawać, i nikt nie powinien mieć prawa pytać o nie, a tak sie wlasnie dzieje...

[@sqbok]

No właśnie nie, aplikacje które używają OpenID wraz z OAuth ani na moment nie uzyskują dostępu do loginu ani hasła użytkownika.

[@bboyPrzemek]

Mam pytanie, ten Yelp i to logowanie to to bylo oauth password grant type? Czy to w ogóle co innego było?

[@SyntuPL]

Dobra robota!