Protocols

Question 1

Cos’è OAuth2 ?

Answer 1

Framework che da la possibilità ad un applicazioni di terze parti l’accesso ad un servizio HTTP; questo per conto di un “resource owner” orchestrando un processo di approvazione tra l’owner e il servizio HTTP, sia permettendo l’accesso al servizio web per conto proprio.

Question 2

OAuth2 è un protocollo di autenticazione?

Answer 2

No, è un protocollo di autorizzazione

Question 3

Cos’è un Access Token di OAuth2?

Answer 3

Stringa che rappresenta la facoltà di accesso ad un risorsa per conto del resource owner. Esso è sempre dotato di expiration date.

Question 4

Qual è il formato di un Access token di Oauth2?

Answer 4

Il framework non stabilisce esattamente come il token debba essere costituito. Uno dei formati più utilizzati è il JSON Web Token (JWT)

Question 5

Come è possibile includere un OAuth2 token in una richiesta ad un HTTP service?

Answer 5

1. Nell’Header HTTP, secondo il formato Authorization: Bearer TOKEN. Dove con bearer si intende che chiunque presenta quel token ha il diritto ad usarlo.
2. Nel body di una richiesta HTTP.

Question 6

Cos’è un Refresh Token di OAuth2?

Answer 6

Token quale da il diritto di rinnovare un access token. Normalmente è caratterizzato da una durata maggiore rispetto ad una access token.

Anche in questo caso il formato non è ben definito, quello che però deve indicare è:
- Access token
- refresh token
- scope

e altri campi.

Question 7

Quali sono i ruoli previsti dal framework OAuth2?

Answer 7

• Resource Owner: entità che dispone di una risorsa web e che ne concede l’accesso.
• Client: Risorsa che in possesso di un Access Token o Authentication Token, attraverso le API di un messe a disposizione da un HTTP Service, richiede l’accesso alle risorse di un owner.
• Authorization server: entità incaricata di raccogliere il consenso di accesso dell’utente a valle di un autenticazione di quest’ultimo operazione effettuata mediante l’esposizione di un endpoint di autenticazione ed emettere un access token sempre mediante un apposito endpoint e.g. /token
• Http Service : server responsabile di esporre un API per l’accesso alle risorse e accogliere l’access token del client, quale deve essere posto in un processo di validazione.

Question 8

Cos’è un Authorization Code in OAuth2?

Answer 8

Codice di Autorizzazione generato dall’authorization server il quale è destinato al client. Esso, insieme ad altre informazioni quali:
- client_id
- secret
- grant_type

viene utilizzato per richiedere una access token.

Question 9

Cosa sono i Grants in OAuth2?

Answer 9

Insieme di step che il client deve eseguire effettuare l’accesso alla risorsa.
Esistono diversi tipi di grant:

• Authorizaton Code Grant: Il client, presenta l’authorization code, client_id e secret per recuperare l’access token
• Client Credentials Grant type: Utilizzato per autorizzazioni service-to-serivce e richiede che il client fornisca all’auth server semplicemente: client_id e secret

-Refresth token grant: rigeneriamo un token a partire da un refresh token

• Implicint Grant: il token viene restituito al client direttamente come parametro della callback URI oppure come un form di risposta. Il primo caso è deprecato per ovvi motivi.

Question 10

Come funziona OAuth2 in modalità Autorization Code Grant?

Answer 10

Resource Owner = RO
Client = C
Authentication Server = AS
Resource Server = RS

1. RO > C : resource access
2. C > RO : client_id, link=callback uri, scope, state
3. RO > AS: follow the redirect
4. RO > AS: autenticate an accept resource access
5. AS > RO: authentication_code, state
6. RO > C : authentication_code, state
7. C > AS: authentication_code, client_id, client_secret, grant_type
8. AS > C : access_token, refresh_token
9. C > RS: authorization: Bearer access_token
10. RS > C: resource

Il protocollo non definisce come garantire l’autenticità del token, un modo per farlo è mediante crittografia asimmetrica, in cui la AS, firma il token JWT con una chiave privata, il RS valida la firma mediante la chiave pubblica e ricalcola l’hash.