O que é o OAuth e como funciona?

O OAuth (Open Authorization) é uma norma aberta de delegação de acesso que permite aos utilizadores dar a aplicações de terceiros acesso às suas informações noutros websites sem partilharem as suas palavras-passe. O OAuth funciona permitindo a um utilizador autorizar uma aplicação a aceder aos seus dados noutro serviço através de tokens em vez de palavras-passe.

Quando um utilizador pretende dar a uma aplicação acesso aos seus dados, é redirecionado para um servidor de autorização, onde pode iniciar sessão e conceder permissão. Após a aprovação, o servidor de autorização emite um token de acesso para a aplicação, que pode ser utilizado para aceder aos dados do utilizador no servidor de recursos. Este token tem um tempo limitado e pode ser revogado, proporcionando uma forma segura de partilhar dados sem comprometer os dados de início de sessão do utilizador.

Em comparação com métodos anteriores, em que os utilizadores tinham de partilhar as suas palavras-passe com aplicações de terceiros, o OAuth oferece uma forma mais segura e controlada de partilhar dados. Reduz o risco de as palavras-passe serem comprometidas e permite aos utilizadores revogar o acesso sempre que quiserem, o que faz dele uma solução mais flexível e segura tanto para os utilizadores como para os programadores. O OAuth em si diz respeito apenas à autorização; quando é utilizado para o início de sessão, acrescenta-se a camada OpenID Connect para confirmar a identidade do utilizador.

O OAuth 1.0 e o OAuth 2.0 são ambos protocolos concebidos para permitir uma autorização segura entre aplicações, mas diferem significativamente na sua arquitetura e utilização. O OAuth 1.0 é conhecido pelo seu processo de assinatura complexo, que exige métodos criptográficos para proteger cada pedido e torna a sua implementação complicada. Esta versão exige que o cliente tenha uma chave secreta utilizada para assinar todos os pedidos, o que pode ser um desafio em ambientes onde o segredo não pode ser mantido em segurança, como nas apps móveis.

O OAuth 2.0, por outro lado, foi concebido a pensar na simplicidade e na flexibilidade. Elimina a exigência de assinaturas criptográficas em cada pedido e baseia-se antes no HTTPS (TLS) para proteger a comunicação, o que facilita a sua implementação, sobretudo em aplicações móveis e web. Os clientes públicos, como as apps móveis, não precisam de um client secret, utilizando antes o PKCE. O OAuth 2.0 utiliza tokens de acesso que podem expirar e ser renovados com refresh tokens, proporcionando uma abordagem mais dinâmica e escalável à autorização. Esta versão suporta também vários fluxos de autorização, o que permite adaptá-la a diferentes tipos de aplicações e casos de utilização.

Em comparação com o OAuth 1.0, que exige uma configuração e uma manutenção mais complexas, o OAuth 2.0 é muito mais fácil para os programadores e adequado ao desenvolvimento moderno de aplicações, em que a flexibilidade e a escalabilidade são cruciais. O OAuth 2.0 substituiu, por isso, em grande medida o OAuth 1.0 e é a escolha preferida dos programadores que pretendem uma forma eficaz e segura de tratar a autorização em diferentes plataformas e dispositivos.

O OAuth é uma framework de autorização popular utilizada para dar a aplicações de terceiros um acesso limitado aos recursos de um utilizador sem revelar a sua palavra-passe. Para garantir uma implementação segura do OAuth, devem ser consideradas as seguintes medidas de segurança:

• Utilização de redirect URIs seguros: É crucial registar e validar exatamente os redirect URIs para evitar ataques de redirecionamento. Só devem ser permitidos URIs predefinidos e seguros, garantindo que os códigos de autorização e os tokens são enviados apenas para destinos de confiança.
• Implementação do PKCE (Proof Key for Code Exchange): O PKCE é uma medida de segurança que protege contra ataques de interceção do código de autorização, sobretudo em clientes públicos, como as aplicações móveis e JavaScript. Utilizando um code verifier e um code challenge, as aplicações podem garantir que o código de autorização só pode ser trocado pelo cliente que o pediu originalmente.
• Utilização de tokens de acesso com tempo de vida limitado: Os tokens de acesso devem ter um tempo de vida curto para minimizar o risco de tokens comprometidos. Os tokens podem ser renovados através de refresh tokens, que têm um tempo de vida mais longo, mas que também têm de ser protegidos com medidas de segurança adequadas, como o armazenamento seguro no dispositivo e a rotação.
• Implementação de scopes para acesso limitado: Definindo scopes, as aplicações podem limitar o acesso apenas aos recursos necessários. Este princípio do menor privilégio reduz o risco de utilização indevida se um token for comprometido.
• Encriptação e transporte seguro: Toda a comunicação entre clientes, servidores de autorização e servidores de recursos deve ser feita através de HTTPS, para proteger contra escutas e ataques man-in-the-middle. A encriptação garante que os dados se mantêm confidenciais e que a sua integridade é preservada.

A combinação de redirect URIs seguros, PKCE, tokens de curta duração, scopes e comunicação encriptada permite implementar o OAuth de uma forma que protege os dados dos utilizadores e garante um processo de autorização seguro. Estas medidas são cruciais para manter a confiança e a segurança nas aplicações modernas que utilizam o OAuth para autorização.

O OAuth melhora a experiência do utilizador em apps móveis e web, oferecendo um método seguro e simplificado de autorização e, combinado com o OpenID Connect, de autenticação dos utilizadores:

• Processo de início de sessão simplificado: O início de sessão baseado em OAuth permite aos utilizadores iniciar sessão em apps com as suas contas existentes de serviços populares como a Google, o Facebook ou a Apple. Isto elimina a necessidade de criar e memorizar novos nomes de utilizador e palavras-passe, tornando o processo de início de sessão mais rápido e conveniente.
• Segurança melhorada: Utilizando o OAuth, as apps podem evitar tratar diretamente as palavras-passe dos utilizadores. Em vez disso, a autenticação é tratada por terceiros, o que reduz o risco de as palavras-passe serem comprometidas em caso de violação de dados na app.
• Controlo de acesso granular: O OAuth permite aos utilizadores dar às apps acesso a dados ou funções específicos sem partilharem todos os dados da sua conta. Isto aumenta o controlo dos utilizadores sobre os seus dados e melhora a confiança na app.
• Integração perfeita: Com o OAuth, as apps podem integrar-se de forma fluida com outros serviços e plataformas. Isto permite aos utilizadores partilhar dados entre apps e serviços sem terem de iniciar sessão várias vezes, melhorando a experiência geral do utilizador.
• Gestão de sessões com refresh tokens: Com os refresh tokens, a app pode renovar os tokens de acesso em segundo plano, para que os utilizadores se mantenham com sessão iniciada sem terem de voltar a introduzir as suas credenciais, a menos que seja necessário. A app ou o seu SDK tem de implementar esta renovação.
• Suporte multiplataforma: O OAuth funciona em diferentes plataformas e dispositivos, proporcionando uma experiência do utilizador consistente, quer o utilizador aceda à app a partir de um dispositivo móvel, de um tablet ou de um computador.

Globalmente, o OAuth melhora a experiência do utilizador ao oferecer um método de autorização seguro, conveniente e integrado, o que faz dele uma solução ideal para as apps móveis e web modernas.

O OAuth é um protocolo de autorização popular que permite um acesso seguro aos dados dos utilizadores sem revelar as suas palavras-passe. O protocolo é particularmente vantajoso para uma série de setores que exigem um tratamento seguro e eficiente dos dados dos utilizadores.

O setor financeiro beneficia muito com o OAuth, pois este permite um acesso seguro aos dados bancários e de transações sem comprometer as palavras-passe dos utilizadores. Na Europa, o open banking ao abrigo da DSP2 assenta em grande parte em fluxos baseados em OAuth, para que os clientes possam dar a apps financeiras acesso às suas contas e apenas as aplicações autorizadas tenham acesso a dados sensíveis, reduzindo o risco de violações de dados.

Nas redes sociais, o OAuth é utilizado para dar a aplicações de terceiros acesso a perfis de utilizadores e listas de amigos. Permite também aos utilizadores iniciar sessão em vários serviços com as suas contas de redes sociais, melhorando a experiência do utilizador ao eliminar a necessidade de memorizar várias palavras-passe.

No comércio eletrónico, o OAuth é utilizado para ligar serviços de pagamento, marketplaces e contas de clientes em diferentes plataformas. Isto garante que os clientes podem fazer compras e gerir as suas contas de forma segura, sem que os seus dados de pagamento sejam expostos a todos os serviços.

Por último, a saúde recorre ao OAuth, por exemplo através da norma SMART on FHIR, para proteger os dados dos doentes quando é dado acesso a registos de saúde eletrónicos e a apps de saúde. O OAuth ajuda a garantir que apenas os prestadores de cuidados de saúde e as aplicações autorizados podem aceder a informação de saúde sensível, o que é crucial para preservar a privacidade e a segurança dos doentes.

Globalmente, o OAuth oferece uma camada de segurança robusta que protege os dados dos utilizadores em diferentes setores, o que faz dele um protocolo-chave no panorama digital atual.

A integração do OAuth numa app existente oferece uma forma segura e normalizada de dar às aplicações acesso aos dados dos utilizadores noutros serviços sem partilhar palavras-passe. Isto é particularmente útil para permitir aos utilizadores iniciar sessão com as suas contas de redes sociais ou de outros serviços. O primeiro passo é registar a aplicação no serviço a utilizar, como a Google, o Facebook ou a Apple. Isto fornece o client ID e outros dados necessários para o fluxo.

Quando um utilizador pretende iniciar sessão através do OAuth, é redirecionado para a página de autorização do serviço, idealmente aberta no browser do sistema, onde lhe é pedido que dê à app permissão para aceder às suas informações. Depois de o utilizador aprovar, o serviço envia um código de autorização de volta para a app. Este código é depois utilizado, juntamente com o PKCE, para pedir um token de acesso ao token endpoint do serviço.

O token de acesso permite à app aceder aos dados do utilizador no serviço, enquanto a palavra-passe do utilizador se mantém privada. Todo o processo decorre através de ligações seguras, e o protocolo OAuth garante que apenas as aplicações autorizadas podem aceder aos dados dos utilizadores. Isto protege tanto a privacidade como a segurança do utilizador, pois o token de acesso pode ser limitado a dados específicos e revogado, se necessário.

Esta combinação de autorização, segurança e usabilidade permite aos utilizadores iniciar sessão na app facilmente com os seus serviços preferidos, mantendo protegidas as suas informações pessoais.