6

Ano passado pesquisando um pouco sobre autenticação em API's REST ouvi falar do OAuth e vi muitas recomendações em relação a ele. Li um pouco sobre o assunto, gostei do mesmo e comecei a usá-lo com o ASP.NET Web API 2.

Agora faz pouco tempo ouvi falar sobre o Open ID Connect que pelo que eu entendi extende o OAuth 2, ou seja, é um superset do OAuth 2. Mas eu sempre ouvi dizer que Open ID era para algo totalmente diferente.

Dessa forma, quais são as reais diferenças entre o Open ID Connect e o OAuth? De que forma o Open ID Connect extende o OAuth e quais as vantagens/desvantagens de cada um deles?

2 Respostas 2

4

O propósito do OpenID Connect é acrescentar uma funcionalidade de autenticação às funções de autorização do OAuth (Fonte). Ou seja, de fato a finalidade do OpenID e do OAuth são diferentes, e o problema é justamente que muita gente estava usando o OAuth para autenticação (i.e. provar que o usuário é quem diz que é) quando na realidade o mesmo havia sido projetado para prover autorização (i.e. determinar o que um agente pode ou não pode fazer em nome de um usuário). Há quem diga que o OAuth sozinho só suporta uma "pseudo-autenticação" (seja lá o que se queira dizer com isso).

Nessa pergunta no security.SE (em inglês) tem algumas informações adicionais (por exemplo, citando que o OpenID Connect usa JWT, e que padroniza vários aspectos tornando o código mais simples, bem como a maneira do usuário escolher seu provedor, etc), mas pelo que eu entendi a principal diferença é essa mesmo. Não tenho experiência prática com nenhum dos dois protocolos, entretanto, de modo que não saberia opinar sobre todas as implicações de se usar um protocolo ou outro (por exemplo, supõe-se que a autenticação ad-hoc do OAuth seja inferior a uma autenticação "de verdade", mas não saberia dizer se isso é verdade e nem o quão pior ela é).

4

O OpenID não estende o OAuth ele utiliza o OAuth como base tornando-se um layer sobre Oauth. Oauth é delegação pura sem qualquer noção de identidade.

Dito isto, simplifico a aplicação de ambos da seguinte forma:

  1. Oauth - Autorização de acesso de aplicações
  2. OpenID - Identificação aberta com assinatura digital.

Enquanto ao OAuth define formas seguras de autorizar aplicativos e de aceder a determinados contextos e conteúdos, em especial define a forma de como o fazer, sobre HTTP etc. O OpenID define uma estrutura JSON que permite identificar utilizadores, dispositivos, etc.

Em conjunto produzem um token que contém informação útil estandardizada que pode permitir saber:

  1. Quem se autenticou
  2. Onde se autenticou
  3. Quando se autenticou
  4. Como se autenticou
  5. Quais atributos que tem
  6. Porque é que os disponibiliza

... isto por qualquer aplicativo, saber com exactidão se cumpridas as regras de ambos protocolos.

Para garantir autenticidade o protocolo OpenID ainda define conceitos como um Identity Provider que geram tokens assinados digitalmente para que a sua credibilidade esteja assegurada, mas na base é um assunto de confiança.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .