4

Quando utilizamos OAuth temos o "servidor de autorização" e o "servidor dos recursos". O servidor dos recursos é o servidor no qual está a API, ou seja, é nele que está a interface para os recursos que queremos proteger. O servidor de autorização, por outro lado, é responsável por realizar as autorizações e dar permissões.

Eu sei que esses dois servidores podem ser o mesmo. Na realidade, só para motivar a pergunta, foi sempre assim que eu trabalhei. Eu utilizava o ASP.NET Web API 2 para criar API's RESTful e o framework oferecia uma implementação de um servidor de autorização OAuth. Nesse caso, a minha aplicação mesmo fazia os dois papeis. Acontece que agora no ASP.NET 5 não existe mais esse servidor de autorização e eu estou procurando alternativas.

O que eu quero saber é o seguinte: é correto utilizar um provedor externo como servidor de autorização? O que quero dizer é usar os serviços de OAuth do Google, Facebook, Microsoft como servidor de autorização ao utilizar o OAuth na minha API para gerar os tokens de acesso?

Lendo um pouco da especificação do OAuth parece tudo bem. Mas por outro lado, eu sinto que não está muito certo não. Duas razões que me ocorreram foram:

  1. Esses serviços OAuth não parecem ter sido criados para isso. Parece que a intenção ao criar esses servidores de autorização era justamente para que eles fossem usados para os próprios serviços, ou seja, para acessar as API's do Google, Facebook, Microsoft, e não para proteger outras API's.

  2. Quando eu ouvi falar que o servidor de autorização é o responsável por dar permissões isso me pareceu equivalente a dizer que é nele que são definidas as claims dos usuários. Isso me faz achar o uso de provedores externos algo errado nesse caso. Isso, porque, definir as claims é algo baseado em regra de negócios da aplicação que eu estou desenvolvendo.

Eu tenho várias outras questões sobre o uso de provedores externos com OAuth em API's RESTful, mas vou deixar para outras perguntas mais focadas. No caso, quero saber: é correto utilizar esses provedores externos como servidor de autorização para geração de tokens de acesso para poder utilizar OAuth em API's RESTful?

Se for correto, e esses dois pontos que eu pensei? Como ficam essas questões?

Edição: Eu posso estar completamente enganado, mas eu vejo esse caso da API RESTful diferente do login com provedor externo usado em sites, como aqui no stackoverflow.

Apesar de isso ser assunto para outra pergunta, a diferença que eu vejo é em síntese a seguinte: quando codificamos um site, estamos oferecendo automaticamente uma interface de usuário. Nesse caso podemos gerar um botão que vai levar o usuário para a tela de login do provedor. Quando o usuário loga ele volta direto para o site.

No caso de um API RESTful, não há a interface de usuário. Ela é simplesmente uma API e o usuário não vai acessar diretamente. Vai existir, em geral, um client que chama essa API. Assim não da pra fazer na API um botão de login que leva o usuário para a página do provedor. Mais do que isso, se o usuário vai para a página do provedor, por intermédio do client, como que a API é comunicada depois? Afinal, depois de fazer o login no provedor, o redirecionamento levaria o usuário para o client. As coisas parecem ficar desconexas no caso da API, justamente porque passa a ter um client no meio intermediando tudo.

7
  • Esses serviços OAuth não parecem ter sido criados para isso. Se fosse verdade não seriam interfaces públicas e não precisava ser criado esse padrão, cada empresa poderia desenvolver seu próprio método de autenticação entre os vários produtos da mesma companhia. Não me parece ser o caso, o stackoverflow por exemplo permite login com Google e Facebook. Commented 5/10/2015 às 2:19
  • @EProgrammerNotFound, eu também estava pensando assim, mas aí comecei a achar que esses serviços foram criados só para permitir acesso as API's deles. Por exemplo, o do Facebook para acessar as API's do Facebook a partir de outros aplicativos e só. O login do Stackoverflow, por outro lado, é para um site, não para uma API. Aí que eu fiquei em dúvida: esses serviços OAuth podem ser usados para autenticação em API's web além de sites? Commented 5/10/2015 às 2:56
  • Não conheço OAuth com detalhes, mas é importante diferenciar entre autenticação e autorização: a função da autenticação é provar que determinado usuário é quem diz que é. Se um usuário criou conta no seu serviço usando um provedor externo como autenticador, e mais tarde ele tenta fazer login com o mesmo provedor, presume-se que ele é o mesmo usuário. Eu por exemplo nunca criei conta no StackOverflow, sempre usei o Google para me autenticar, então a única maneira do SO saber que determinado usuário tentando acessar o site sou eu é através da confirmação do Google.
    – mgibsonbr
    Commented 8/10/2015 às 21:33
  • 1
    @mgibsonbr Exato, eu confundi OAuth com OpenID, os conceitos são diferentes mas os nomes autenticação e autorização são parecidos. Nesse caso, acredito que o OAuth sirva para delegar aqulelas funções (ver contatos, etc, etc) que você deve aceitar. Acredito então que AP esteja no caminho certo, consumindo o OAuth na sua aplicação, sua aplicação teria acesso a serviços do google por exemplo, e não o contrário. Commented 8/10/2015 às 22:57
  • 1
    @mgibsonbr Pelo que li no rfc 6747 a idéia do OAuth é padronizar uma forma segura de compartilhar serviços com terceiros. Não quero aqui definir o padrão, por isso não estou respondendo e sim comentando. Ler o RFC pode ser bastante interessante para entender corretamente o objetivo do protocolo. Commented 8/10/2015 às 23:03

1 Resposta 1

1

Sobre a pergunta

É correto utilizar um provedor externo como servidor de autorização? O que quero dizer é usar os serviços de OAuth do Google, Facebook, Microsoft como servidor de autorização ao utilizar o OAuth na minha API para gerar os tokens de acesso?

A utilização de servidor externo de autorização depende do tipo de aplicação que você está desenvolvendo. De antemão recomendo a leitura da documentação do OAuth 2.0 e, caso tenha interesse, visualização de exemplos através deste link: OAuth 2.0.

Aplicação importante/crítica

Se essa aplicação possui questões críticas, por exemplo: um sistema escolar que apresenta informações muito importantes e não pode parar de funcionar, recomendo que: a) utilize uma autenticação simples desenvolvida por você ou; b) desenvolva seu próprio servidor OAuth.

Nesse caso, não faz sentido ele parar de funcionar porque o Facebook ou o Google parou por algum motivo ou se ele pode realizar um procedimento no seu sistema de acordo com as permissões externas. Em suma, esse tipo de sistema não deve depender 100% de servidores de terceiros, mas eles podem ser complementares.

Aplicação social ou jogo

Caso sua aplicação seja um jogo ou tenha algum caráter social focada em conseguir o maior número de pessoas possível, recomendo que você utilize o máximo de servidores externos para que consiga alcançar o maior número de usuários.

Aplicação voltada para consumo por outros desenvolvedores

Vamos dizer que a sua aplicação possibilita foi criada para ser usada somente por desenvolvedores. Então, recomendo a implementação de um servidor OAuth, preferencialmente próprio para garantir que os outros desenvolvedores não vão ficar na mão se um servidor externo (Google, Facebook etc) cair.

Observações sobre os dois questionamentos:

Esses serviços OAuth não parecem ter sido criados para isso. Parece que a intenção ao criar esses servidores de autorização era justamente para que eles fossem usados para os próprios serviços, ou seja, para acessar as API's do Google, Facebook, Microsoft, e não para proteger outras API's.

Na verdade o Facebook e o Google são bastante utilizados como servidores de autorização e até de autenticação, ele faz isso em jogos e no caso do Google entre os próprios sistemas como o Google Drive e o Gmail.

O uso do OAuth possibilita também a destruição de credenciais. Caso queira ver um exemplo prático disso, modifique sua senha no Facebook e ele perguntará se você quer sair dos outros aplicativos. Por que ele faz isso? Na verdade, se ele fosse perguntar a um programador, a pergunta seria: Deseja invalidar todos os tokens que estão sendo usados?

Na verdade, o importante dessa implementação é que você utiliza os tokens ao invés de usuário e senha. Eu não preciso ficar informando minha senha a um sistema desconhecido, eu posso simplesmente dar a ele determinadas permissões. E isso fica bem visível quando o Google informa as permissões solicitadas por determinada aplicação, por exemplo.

Quando eu ouvi falar que o servidor de autorização é o responsável por dar permissões isso me pareceu equivalente a dizer que é nele que são definidas as claims dos usuários. Isso me faz achar o uso de provedores externos algo errado nesse caso. Isso, porque, definir as claims é algo baseado em regra de negócios da aplicação que eu estou desenvolvendo.

A utilização do OAuth 2.0 é semelhante em diversas aplicações, mas nada impede que o seu servidor ou cliente que também utilize o OAuth 2.0 tenha suas próprias regras de negócio. As permissões estão mais associadas ao que você pode fazer no sistema dos outros, por exemplo, se você pode ver a lista de contatos ou a data de nascimento, entre outras informações.

Edição

Como você modificou a pergunta, deixarei a minha resposta da forma que estava e tentarei esclarecer alguns pontos:

Edição: Eu posso estar completamente enganado, mas eu vejo esse caso da API RESTful diferente do login com provedor externo usado em sites, como aqui no stackoverflow.

A API RESTful pode ou não estar desvinculada totalmente do sistema utilizado nos sites, isso fica a critério da equipe de desenvolvimento. Não sei dizer como funciona o stackoverflow, mas ele tem sua própria API, inclusive com Authentication com OAuth 2.0 e tem possibilidade de consumir a do Google, por exemplo.

No caso de um API RESTful, não há a interface de usuário.

No REST em si não existe, mas nada impede sua aplicação de funcionar de maneira híbrida, implementando interfaces e consumindo a si própria.

Assim não da pra fazer na API um botão de login que leva o usuário para a página do provedor. Mais do que isso, se o usuário vai para a página do provedor, por intermédio do client, como que a API é comunicada depois? Afinal, depois de fazer o login no provedor, o redirecionamento levaria o usuário para o client.

Não está incorreto o seu modo de pensar, mas há outras formas de implementação do OAuth. Lógico, a forma mais comum é clicar num botão e ser redirecionado para uma outra aplicação e depois retornar para a sua. Mas não é impossível realizar esse procedimento em back, solicitando usuário e senha, criando uma interface para autenticação do usuário.

Fazendo isso, se você estiver começando a usar o OAuth agora, pode complicar um pouco a sua vida. A forma mais fácil é realmente usar um Basic Authentication ou Digest tudo vai depender do tipo da sua aplicação, como já mencionei anteriormente.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .