OAuth

Čo to znamená

OAuth je otvorený štandard na delegovanie prístupu. Umožňuje, aby jedna aplikácia pristupovala k údajom používateľa v inej aplikácii bez toho, aby poznala jeho heslo. Používateľ sa prihlási priamo u poskytovateľa, odsúhlasí rozsah prístupu a aplikácia dostane dočasný token, ktorý môže použiť len na povolené operácie.

Kľúčovým pojmom je rozsah prístupu, anglicky scope. Účtovný program môže dostať povolenie čítať pohyby na účte, ale nie zadávať platby. Tokeny majú obmedzenú platnosť a obnovujú sa, takže aj pri ich úniku je škoda menšia než pri úniku hesla, ktoré otvára všetko a platí dlho.

Dnes sa používa verzia OAuth 2.0, často v kombinácii s OpenID Connect, ktorý pridáva overenie identity. Tlačidlá typu Prihlásiť sa cez Google či Microsoft sú postavené práve na týchto štandardoch. Pre firmu to znamená menej hesiel a centrálne miesto, kde sa prístupy zapínajú a vypínajú.

Ako to funguje v praxi

V bankovníctve je OAuth základom otvoreného bankovníctva podľa smernice PSD2. Keď prepojíte účtovný systém s bankou, banka vás presmeruje na svoje prihlásenie, overí vás silným overením a účtovný program dostane token na sťahovanie výpisov. Banka nikdy neposiela vaše prihlasovacie údaje tretej strane.

Pri cloudových aplikáciách OAuth prepája CRM, fakturáciu, e-shop, kalendár či úložisko súborov. Namiesto zdieľania hesiel medzi systémami sa každé prepojenie povolí zvlášť a dá sa zvlášť zrušiť. Oproti statickému API kľúču je výhodou aj to, že prístup je naviazaný na konkrétneho používateľa a jeho oprávnenia.

V rámci riadenia prístupov odporúčame viesť zoznam prepojených aplikácií a pravidelne ho kontrolovať. Väčšina služieb ho zobrazuje v nastaveniach účtu pod názvom prepojené alebo autorizované aplikácie. Nepotrebné prepojenia, najmä po skončení spolupráce s dodávateľom, treba odvolať.

Na čo si dať pozor

OAuth chráni heslo, nie však samotné údaje. Aplikácia s povoleným prístupom ich môže čítať a ukladať, takže pri výbere nástroja treba posúdiť jej dôveryhodnosť aj to, či ide o sprostredkovateľa podľa GDPR. Útočníci navyše zneužívajú falošné žiadosti o súhlas, ktoré vyzerajú ako legitímne aplikácie.

Prepojenia s bankou platia obmedzený čas a po jeho uplynutí ich treba obnoviť. Ak sa výpisy do účtovníctva prestanú načítavať, najčastejšou príčinou je práve vypršaný súhlas. Oplatí sa sledovať upozornenia a obnovu naplánovať tak, aby v účtovníctve nevznikla medzera.