הבנת תהליך שרת האינטרנט של OAuth: אנלוגיה של גן בירה
ברוכים השבים לסדרה Securing Identity! בפרק הזה נצלול עמוק יותר לתהליך שרת האינטרנט (Web Server Flow) של OAuth, נרחיב את האנלוגיה של גן הבירה מהפעם הקודמת, ונספק תובנות מפורטות על הדקויות של התהליך.
חוזרים לאנלוגיה של גן הבירה
באנלוגיה קודמת, השווינו את תהליך קבלת אסימון גישה (או צמיד על פרק היד באנלוגיה שלנו) להזמנת בירה בגן בירה. הלקוח (רובוט) שולח אתכם לשרת האימות אחרי ששרת המשאבים דוחה את הגישה כי אין אסימון גישה. אחרי שהוא מאמת את פרטי הגישה שלכם, שרת האימות מספק אסימון גישה, ומאפשר לכם לקבל את הנתונים המבוקשים משרת המשאבים.
מציגים צד שלישי: בית הבורגר (Burger House)
באנלוגיה המורחבת הזו אנחנו מציגים צד שלישי, בית הבורגר, שצריך לקבל בירה מגן הבירה באמצעות פרטי הגישה שלכם. התהליך כולל גם ערוץ קדמי (front-end channel) פחות מאובטח, שמסומן באדום, וגם ערוץ אחורי (back-end channel) מאובטח יותר, שמסומן בשחור.
התהליך צעד אחר צעד:
בקשה בבית הבורגר: אתם מבקשים בירה בבית הבורגר, ואין לו.
הפניה: אתם מופנים לאתר הציבורי של שרת האימות דרך ערוץ קדמי פחות מאובטח.
אימות: אתם מתחברים ל-Salesforce, והיא מנפיקה קוד הרשאה (authorization code), שמסומן כמטבע כחול.
החלפת קוד ההרשאה: בית הבורגר מקבל את קוד ההרשאה ומציג אותו לשרת האימות דרך ערוץ אחורי מאובטח.
קבלת האסימון: בית הבורגר מקבל אסימון גישה, ואולי גם אסימון רענון (refresh token), אחרי אימות מוצלח.
בקשת נתונים: בעזרת אסימון הגישה, בית הבורגר מבקש נתונים משרת המשאבים, משלב אותם עם הנתונים שלו ומציג לכם אותם.
רכיבי המפתח של תהליך שרת האינטרנט ב-OAuth:
שני ערוצים: התהליך כולל ערוץ קדמי פחות מאובטח וערוץ אחורי מאובטח.
קוד הרשאה: קוד הרשאה זמני משמש להחלפות מאובטחות, ואז נזרק.
רישיון עסק: לבית הבורגר חייב להיות רישיון מיוחד (consumer key ו-consumer secret) כדי לפעול בשם בעלי המשאבים, וכך מובטחות החלפות מאובטחות ומורשות.
סיכום
תהליך שרת האינטרנט של OAuth מורכב, אבל חיוני לגישה מאובטחת לנתונים, במיוחד כשמעורבים צדדים שלישיים. התהליך הזה מגן מפני התקפות אפשריות, ומבטיח טרנזקציות מאובטחות ושלמות נתונים.
הישארו איתנו
צאו לדרך עם Salesforce Identity בביטחון! לתובנות ולטיפים נוספים, הישארו איתנו כאן ב-www.SteveTechArc.com ובערוץ ה-YouTube @SteveTechArc (opens in a new tab). הירשמו והעמיקו את ההבנה שלכם ב-Salesforce Identity.
עוזרים לשנות את העולם בשיתוף מידע על אינטגרציה עם עמיתים ארכיטקטים ועם מי שנמצאים במסע שלהם לארכיטקטורה!
STA 3.12