Τόσο το JWT όσο και το OAuth μπορούν να σας βοηθήσουν να βελτιώσετε την ασφάλεια της εφαρμογής Ιστού σας προσφέροντας ασφαλή έλεγχο ταυτότητας και εξουσιοδότηση. Αλλά ποιο πρέπει να εφαρμόσετε για να επιτρέψετε στους χρήστες να έχουν πρόσβαση στην εφαρμογή Ιστού σας με ασφάλεια; Έχουμε ετοιμάσει ένα λεπτομερές άρθρο σχετικά με το JWT εναντίον OAuth για να απαντήσουμε σε αυτήν την ερώτηση.
Αφού το διαβάσετε, θα έχετε μια ξεκάθαρη ιδέα για το τι είναι το JWT και το OAuth, ποια οφέλη προσφέρουν, πώς διαφέρουν και ποια πρέπει να εφαρμόσετε για να βελτιώσετε την ασφάλεια της εφαρμογής Ιστού σας.
Χωρίς άλλη καθυστέρηση, ας βουτήξουμε.
Πίνακας περιεχομένων
Τι είναι ένα JWT;
Το JWT, το οποίο σημαίνει JSON Web Token, είναι ένα ανοιχτό πρότυπο που ορίζει έναν τρόπο ασφαλούς κοινής χρήσης πληροφοριών μεταξύ δύο μερών ως αντικείμενο JSON. Καθώς οι πληροφορίες είναι ψηφιακά υπογεγραμμένες, τα μέρη μπορούν να εμπιστεύονται και να επαληθεύουν τις πληροφορίες που μεταδίδονται μέσω των JSON Web Tokens.
Ένα σχετικά μικρό μέγεθος JWT επιτρέπει την αποστολή τους μέσω μιας παραμέτρου POST, μιας διεύθυνσης URL ή μέσα σε μια κεφαλίδα HTTP. Ένα JSON Web Token έχει τρία μέρη: Κεφαλίδα, ωφέλιμο φορτίο και υπογραφή.
Η κεφαλίδα λέει τι είδους διακριτικό είναι και το είδος του αλγόριθμου υπογραφής που χρησιμοποιείται. Το τμήμα ωφέλιμου φορτίου ενός JWT περιλαμβάνει αξιώσεις που είναι δηλώσεις σχετικά με τους χρήστες και πρόσθετα δεδομένα.
Όπως υποδηλώνει το όνομα, το τμήμα Signature ενός JSON Web Token έχει την υπογραφή για την επαλήθευση ότι το μήνυμα δεν μετριάστηκε στην πορεία.
Πώς λειτουργούν τα JWT
Πηγή εικόνας: DEV
Ακολουθεί ο τρόπος λειτουργίας ενός JSON Web Token.
Είσοδος χρήστη
Οι χρήστες συνδέονται στην εφαρμογή Ιστού σας υποβάλλοντας τα ονόματα χρήστη και τους κωδικούς πρόσβασής τους. Στη συνέχεια, η εφαρμογή σας μεταφέρει αυτά τα διαπιστευτήρια σύνδεσης στον διακομιστή ελέγχου ταυτότητας.
Token Generation
Αφού ο διακομιστής ελέγχου ταυτότητας επαληθεύσει τα διαπιστευτήρια σύνδεσης των χρηστών, δημιουργεί JSON Web Tokens και τα στέλνει στους χρήστες. Αυτά τα JWT μπορούν να περιλαμβάνουν κρίσιμες πληροφορίες για χρήστες και περιόδους ελέγχου ταυτότητας. Οι χρήστες αποθηκεύουν αυτά τα JWT τοπικά. Με βάση τις ρυθμίσεις, ο διακομιστής μπορεί επίσης να υπογράψει JWT χρησιμοποιώντας ένα κοινό μυστικό ή ιδιωτικό κλειδί για τη βελτίωση της ασφάλειας.
Επαλήθευση διακριτικού
Όταν οι χρήστες υποβάλλουν αιτήματα στον διακομιστή εφαρμογών σας για πρόσβαση σε οποιονδήποτε πόρο, θα περιλαμβάνουν τα JWT τους στα αιτήματα διακομιστή τους. Ο διακομιστής εφαρμογών σας θα επαληθεύσει τις υπογραφές στα JWT και θα ελέγξει τις αξιώσεις στα ωφέλιμα φορτία για να επαληθεύσει εάν επιτρέπεται στους χρήστες να έχουν πρόσβαση στους ζητούμενους πόρους.
Εάν τα JWT είναι έγκυρα, οι χρήστες θα έχουν πρόσβαση στους πόρους που ζητήθηκαν στην εφαρμογή Ιστού σας.
Περιπτώσεις χρήσης JWT
Μπορεί κανείς να χρησιμοποιήσει τα JSON Web Tokens με τους εξής τρόπους:
#1. Εξουσιοδότηση
Αφού οι χρήστες συνδεθούν με επιτυχία στην εφαρμογή Ιστού σας μέσω του τερματικού σημείου σύνδεσης, ο διακομιστής ελέγχου ταυτότητας θα τους εκδώσει JWT. Οι χρήστες θα χρησιμοποιήσουν τα JWT τους για πρόσβαση σε πόρους εντός της εφαρμογής, οι οποίοι απαιτούν έλεγχο ταυτότητας για να αποδείξουν την ταυτότητά τους.
Ανταλλαγή πληροφοριών μεταξύ των μερών
Το JSON Web Token μπορεί να είναι η σωστή επιλογή για την ασφαλή μετάδοση πληροφοριών σε έγκυρους χρήστες. Τα JSON Web Tokens υπογράφονται για να διασφαλίζεται ότι οι πληροφορίες προέρχονται από την αρχική πηγή. Επίσης, η δομή του JWT (το τμήμα υπογραφής) επιτρέπει στους δέκτες να επαληθεύουν ότι οι πληροφορίες δεν έχουν τροποποιηθεί στην πορεία.
Οφέλη των JWT
Τα παρακάτω είναι βασικά πλεονεκτήματα της εφαρμογής JWT στην εφαρμογή Ιστού σας.
- Σε αντίθεση με τα διακριτικά SAML, τα JWT είναι ελαφριά. Έτσι, μπορείτε να τα εφαρμόσετε γρήγορα σε περιβάλλοντα HTML και HTPP, καθιστώντας τα JWT ιδανικά για εφαρμογές πελατών, όπως εφαρμογές για κινητές συσκευές.
- Τα JWT προσφέρουν ισχυρή ασφάλεια. Μπορείτε να υπογράψετε συμμετρικά JWT με ένα κοινό μυστικό χρησιμοποιώντας τον αλγόριθμο HMAC ή ένα ιδιωτικό κλειδί για να τα υπογράψετε ασύμμετρα.
- Τα JWT διαθέτουν ενσωματωμένο μηχανισμό λήξης, που σας επιτρέπει να ορίσετε την περίοδο λήξης των JWT για να ενισχύσετε την ασφάλεια.
- Τα JSON Web Tokens υιοθετούνται ευρέως από διαφορετικές λύσεις Single Sign-On. Ως αποτέλεσμα, είναι εύκολο να εργαστείτε με το JWT.
Επιπλέον, τα JWT μπορούν να εξοικονομήσουν χώρο αποθήκευσης βάσης δεδομένων στην εταιρεία σας. Αυτό συμβαίνει επειδή ο διακομιστής σας δημιουργεί μόνο JWT και αποθηκεύονται από την πλευρά του πελάτη. Επίσης, τα JWT δεν απαιτούν αναζήτηση βάσης δεδομένων.
Έτσι, τα JWT μπορούν να επαληθευτούν γρήγορα, προσφέροντας μια ανώτερη εμπειρία χρήστη.
Περιορισμοί των JWT
Αν και τα JWT είναι ένας εξαιρετικός τρόπος εξουσιοδότησης των χρηστών. Έχουν ορισμένους περιορισμούς, όπως:
- Είστε υπεύθυνοι για τη διασφάλιση της ασφάλειας του κλειδιού κρυπτογράφησης. Εάν ένας χάκερ πάρει στα χέρια του το κλειδί που υπογράφει τα JWT σας, έχετε μεγάλο πρόβλημα. Θα μπορούσαν να δημιουργήσουν ψεύτικα διακριτικά που μπλέκουν με τα δεδομένα χρήστη σας. Αυτός είναι ένας τεράστιος κίνδυνος για την ασφάλεια.
- Τα JWT δεν χρειάζονται κλήση βάσης δεδομένων για κάθε έλεγχο, κάτι που ακούγεται καλό. Αλλά αν χρειαστεί να ανακαλέσετε ένα ASAP, θα πρέπει να το βάλετε στη μαύρη λίστα. Αυτό δεν είναι ένα γρήγορο ή απλό έργο.
- Όταν ένα JWT λήγει, δεν είναι απλώς θέμα παράτασης του χρονοδιακόπτη. Το σύστημά σας θα ζητήσει από τον χρήστη να συνδεθεί ξανά για να λάβει ένα νέο διακριτικό. Αυτό προσθέτει πολυπλοκότητα σε ολόκληρη τη διαδικασία, απαιτώντας περισσότερη σκέψη σχετικά με την εμπειρία χρήστη και τις ροές ασφάλειας. Για να διευκολύνετε τη διαδικασία, μπορείτε να εφαρμόσετε διακριτικά ανανέωσης σε συνδυασμό με JWT. Όταν λήξει το διακριτικό πρόσβασης, οι πελάτες μπορούν να χρησιμοποιήσουν αυτά τα διακριτικά ανανέωσης για να ζητήσουν νέα διακριτικά πρόσβασης χωρίς ο πελάτης να υποβάλει ξανά διαπιστευτήρια σύνδεσης.
- Η εφαρμογή JWT στην εφαρμογή Ιστού σας δεν είναι απλή δουλειά. απαιτεί επιπλέον μηχανική εργασία. Θα χρειαστεί να ρυθμίσετε τη διαδικασία δημιουργίας διακριτικού, να επιλέξετε τον σωστό μηχανισμό υπογραφής που ταιριάζει στην εφαρμογή σας και να τα ενσωματώσετε όλα στην υπάρχουσα αρχιτεκτονική σας.
Τα JWT δεν είναι μια λύση ενός βήματος, αλλά μάλλον ένα έργο που χρειάζεται προσεκτικό σχεδιασμό και εκτέλεση.
Τι είναι το OAuth;
Το OAuth, συντομογραφία για την ανοιχτή εξουσιοδότηση, είναι ένα ανοιχτό πρότυπο πρωτόκολλο εξουσιοδότησης για εξουσιοδότηση. Επιτρέπει σε εφαρμογές Ιστού ή ιστότοπους να έχουν πρόσβαση σε πόρους που φιλοξενούνται από εφαρμογές τρίτων για λογαριασμό χρηστών χωρίς οι χρήστες να μοιράζονται διαπιστευτήρια σύνδεσης για εφαρμογές τρίτων.
Τώρα, γραμμένο ως OAuth 2.0 (η πιο πρόσφατη έκδοση του OAuth), χρησιμοποιείται ευρέως για τον έλεγχο ταυτότητας των χρηστών μέσω ενός διακομιστή ελέγχου ταυτότητας.
Για παράδειγμα, με το OAuth να υπάρχει, οι χρήστες μπορούν να συνδεθούν στην εφαρμογή σας με τους λογαριασμούς τους στο Facebook ή στο Google. Αλλά θα εισάγουν τα διαπιστευτήρια σύνδεσής τους μόνο σε λογαριασμούς Facebook ή Google.
Πώς λειτουργεί το OAuth
Πηγή εικόνας: Zoho
Για παράδειγμα, έχετε μια εφαρμογή διαχείρισης χρόνου. Και για να επιτρέψετε σε οποιονδήποτε να χρησιμοποιεί την εφαρμογή σας αποτελεσματικά, χρειάζεστε πρόσβαση στα εισερχόμενά του email. Τις προηγούμενες ημέρες, οι χρήστες έπρεπε να μοιραστούν τα διαπιστευτήρια σύνδεσής τους με την εφαρμογή σας για να επιτρέψουν στην εφαρμογή να έχει πρόσβαση στα εισερχόμενά τους. Το OAuth2.0 έλυσε αυτό το πρόβλημα.
Δείτε πώς φαίνεται η ροή εργασίας OAuth2.0:
Τώρα, η εφαρμογή διαχείρισης χρόνου σας μπορεί να έχει πρόσβαση στα εισερχόμενα του χρήστη. Όπως έχει ο Oauth διάφορα είδη επιχορήγησηςη ροή αδειοδότησης μπορεί να διαφέρει ελαφρώς ανάλογα με τους τύπους χορήγησης άδειας.
Οφέλη του OAuth
Τα ακόλουθα είναι βασικά πλεονεκτήματα από τη χρήση του OAuth.
- Το OAuth είναι ένα ευρέως αποδεκτό πρότυπο. Αυτό σημαίνει ότι όλες οι κορυφαίες υπηρεσίες ελέγχου ταυτότητας κατανοούν και χρησιμοποιούν το OAuth.
- Οι χρήστες θα βρουν πολλές προσθήκες και δυνατότητες του OAuth για να επιλέξουν, χάρη στην ευρεία χρήση και τη συμβατότητά του.
- Το OAuth προσφέρει δοκιμασμένες βιβλιοθήκες πελατών για σχεδόν όλες τις γλώσσες προγραμματισμού και τα πλαίσια Ιστού. Έτσι, μπορείτε να χρησιμοποιήσετε τη γλώσσα που προτιμάτε με το OAuth.
- Το OAuth είναι εξαιρετικά ασφαλές και καλά ελεγμένο. Επειδή χρησιμοποιείται τόσο ευρέως, οι ειδικοί έχουν ήδη εξετάσει όλους τους πιθανούς κινδύνους ασφαλείας.
- Το OAuth είναι εξαιρετικό για την αποσύνδεση κώδικα. Ο κύριος κωδικός της εφαρμογής σας δεν ανακατεύεται όταν χειρίζεστε εργασίες ελέγχου ταυτότητας. Αυτό διευκολύνει τη διαχείριση και την ενημέρωση της εφαρμογής σας μακροπρόθεσμα.
Περιπτώσεις χρήσης OAuth
Ακολουθούν ορισμένες δημοφιλείς περιπτώσεις χρήσης του OAuth:
- Η πιο κοινή χρήση του OAuth 2.0 είναι η δημιουργία εφαρμογών τρίτων για πρόσβαση στους λογαριασμούς των χρηστών. Με το OAuth 2.0, οι χρήστες μπορούν να εξουσιοδοτήσουν τρίτα μέρη να έχουν πρόσβαση στα δεδομένα τους που είναι αποθηκευμένα σε διαφορετικές υπηρεσίες χωρίς να παρέχουν σε τρίτους τα διαπιστευτήρια σύνδεσης για αυτές τις υπηρεσίες.
- Ως κάτοχος εφαρμογών ιστού, μπορείτε να χρησιμοποιήσετε το OAuth 2.0 για την εφαρμογή Single Sign-on. Μπορείτε να εξερευνήσετε αυτές τις λύσεις OAuth ανοιχτού κώδικα για το έργο σας.
- Μπορείτε να εφαρμόσετε το OAuth 2.0 στην πύλη API σας για να κάνετε την πύλη API να λειτουργεί ως διακομιστής εξουσιοδότησης. Αυτό θα διασφαλίσει ότι η πύλη API θα προωθήσει αιτήματα από πελάτες με έγκυρα διακριτικά πρόσβασης.
- Το OAuth 2.0 μπορεί να εξουσιοδοτήσει το IoT και τις έξυπνες συσκευές, όπως ψυγεία ή τηλεοράσεις, να αλληλεπιδρούν με API τρίτων για λογαριασμό των χρηστών. Αυτό είναι χρήσιμο όταν ένας χρήστης θέλει να συνδεθεί σε μια εφαρμογή σε gadget χωρίς κανονικό πληκτρολόγιο, όπως μια έξυπνη τηλεόραση ή κονσόλα παιχνιδιών.
Περιορισμοί ΟΑΥΘ
Το εύρος των διαθέσιμων ροών μπορεί να είναι τρομακτικό για όσους είναι νέοι στο OAuth. Δεν είναι μόνο η επιλογή ενός. Μερικές φορές, χρειάζεστε έναν συνδυασμό για να καλύψετε όλες τις απαιτήσεις ασφαλείας σας. Αυτή η πολυπλοκότητα μπορεί να δυσκολέψει τους αρχάριους να γνωρίζουν από πού να ξεκινήσουν, τι να χρησιμοποιήσουν και πώς να το ενσωματώσουν αποτελεσματικά.
Κάθε ροή εξυπηρετεί έναν μοναδικό σκοπό, είτε πρόκειται για εφαρμογές για κινητά, είτε για επικοινωνία διακομιστή με διακομιστή ή εφαρμογές ιστού. Επομένως, η προσεκτική ανάλυση των συγκεκριμένων αναγκών σας είναι απαραίτητη πριν κάνετε μια επιλογή.
Το OAuth 2.0 εξαρτάται από SSL/TLS για να διατηρεί τα πράγματα ασφαλή. Εάν το SSL/TLS δεν έχει ρυθμιστεί σωστά, τότε η ασφάλεια του OAuth 2.0 θα μπορούσε να είναι σε κίνδυνο.
Επίσης, το OAuth μπορεί να εγείρει ζητήματα απορρήτου, ιδιαίτερα κατά την παρακολούθηση της δραστηριότητας των χρηστών. Όταν χρησιμοποιείτε μια υπηρεσία όπως “Σύνδεση με Google”, η Google ενδέχεται να αντιληφθεί τη δραστηριότητά σας σε αυτόν τον ιστότοπο τρίτου μέρους. Η Google όχι μόνο μπορεί να γνωρίζει ότι έχετε συνδεθεί, αλλά μπορεί επίσης να παρακολουθεί πόσο συχνά και πότε αλληλεπιδράτε με αυτόν τον ιστότοπο.
Επιπλέον, το OAuth θα μπορούσε να είναι υπερβολικό για απλούστερες ρυθμίσεις, όπως μια εφαρμογή με μόνο ένα μπροστινό μέρος και ένα πίσω άκρο. Μπορεί να μην χρειάζεστε την πολυπλοκότητά του σε τέτοιες περιπτώσεις.
Διαφορά μεταξύ JWT και OAuth
Τα JWT και το OAuth εξυπηρετούν την κρίσιμη λειτουργία της επαλήθευσης της ταυτότητας του χρήστη για την εξουσιοδότηση πρόσβασης σε πόρους. Είναι βασικά εργαλεία στο τοπίο της ασφάλειας, αλλά διαφέρουν ως προς το εύρος, την πολυπλοκότητα και την εφαρμογή.
Δυνατότητες JWTsOAuthΚύρια χρήση Τα JWT επικεντρώνονται κυρίως σε API. Το OAuth καλύπτει τον ιστό, το πρόγραμμα περιήγησης, το API και άλλες εφαρμογές. Το Token έναντι του Πρωτοκόλλου Τα JWT είναι μια μορφή διακριτικού. Το OAuth είναι ένα πρωτόκολλο εξουσιοδότησης. Τα StorageJWT βασίζονται μόνο στον χώρο αποθήκευσης από την πλευρά του πελάτη. Το OAuth χρησιμοποιεί τόσο τον πελάτη όσο και Αποθήκευση από την πλευρά του διακομιστή. Ευελιξία Τα JWT είναι πιο περιορισμένα σε εύρος. Το OAuth προσφέρει μεγαλύτερη ευελιξία και ευρύτερο φάσμα περιπτώσεων χρήσης. Ευκολία χρήσης Τα JWT είναι απλούστερα και πιο εύκολα κατανοητά. Το OAuth είναι πιο περίπλοκο.
Ενώ τα JWT είναι πιο απλά και προσανατολισμένα στην ασφάλεια API, το OAuth παρέχει μια ολοκληρωμένη λύση μηχανισμού ελέγχου ταυτότητας που μπορεί να προσαρμοστεί σε διάφορα σενάρια.
Και το OAuth μπορεί να επιτρέψει στους χρήστες να επιτρέπουν σε μια εφαρμογή τρίτου μέρους να έχει πρόσβαση στα δεδομένα τους σε άλλη πλατφόρμα χωρίς να αποκαλύπτουν τα στοιχεία σύνδεσής τους.
Το αν κάποιος είναι καλύτερος εξαρτάται από τις συγκεκριμένες ανάγκες του εν λόγω συστήματος ή δικτύου.
Μπορείτε να χρησιμοποιήσετε JWT και OAuth μαζί;
Αν και τα JWT και το OAuth εξυπηρετούν διαφορετικούς σκοπούς, μπορείτε να τα συνδυάσετε μαζί.
Το πρωτόκολλο OAuth δεν καθορίζει καμία μορφή διακριτικού που πρέπει να χρησιμοποιείται αυστηρά. Έτσι μπορείτε να εφαρμόσετε JWT στο OAuth.
Για παράδειγμα, ο διακομιστής ελέγχου ταυτότητας OAuth2 μπορεί να εκδώσει ένα διακριτικό πρόσβασης που διαθέτει JWT. Και αυτό το JWT θα μπορούσε να περιλαμβάνει πρόσθετες πληροφορίες στο ωφέλιμο φορτίο, βελτιώνοντας την απόδοση. Αυτό συμβαίνει επειδή θα υπάρξουν μειωμένες διαδρομές μετ’ επιστροφής μεταξύ των διακομιστών ελέγχου ταυτότητας και πόρων.
Ο συνδυασμός JWT και OAuth2 μπορεί επίσης να συμβεί μέσω μιας προσέγγισης διπλού διακριτικού—το OAuth2 εκδίδει δύο ξεχωριστά διακριτικά σε αυτήν τη μέθοδο: ένα access_token και ένα JWT. Το JWT περιέχει πρόσθετες πληροφορίες ταυτότητας. Αυτή η προσέγγιση παρέχει ένα επιπλέον επίπεδο λεπτομέρειας, δίνοντάς σας περισσότερο έλεγχο στην πρόσβαση και τα δεδομένα των χρηστών.
Είναι ζωτικής σημασίας να χρησιμοποιείτε το OpenID Connect όταν επιλέγετε αυτήν τη στρατηγική διπλού διακριτικού. Το OpenID Connect βασίζεται στο OAuth2 και προσθέτει περισσότερα τυποποιημένα πεδία στα διακριτικά.
Η χρήση JWT αντί για OAuth2 μπορεί να κάνει τα πράγματα πιο γρήγορα και λιγότερο περίπλοκα για συγκεκριμένες εργασίες. Αλλά μπορεί επίσης να κάνει την ανάπτυξη πιο προκλητική.
Όταν αποφασίζετε να χρησιμοποιήσετε το JWT με το OAuth2, σκεφτείτε εάν η ενίσχυση ταχύτητας δικαιολογεί την πρόσθετη εργασία στην ανάπτυξη.
συμπέρασμα
Στη μάχη του JWT εναντίον του OAuth για την απόλυτη ασφάλεια ιστού, το καθένα έχει πλεονεκτήματα και μειονεκτήματα. Το JWT λάμπει για γρήγορο έλεγχο ταυτότητας χωρίς ιθαγένεια, αλλά έχει περιορισμούς όπως η έλλειψη ενσωματωμένης ανάκλησης. Το OAuth υπερέχει σε πολύπλοκα σενάρια εξουσιοδότησης, αλλά μπορεί να είναι υπερβολικό για πιο απλά έργα.
Εάν χρειάζεστε ισχυρή εξουσιοδότηση και αποτελεσματικό έλεγχο ταυτότητας, εξετάστε το ενδεχόμενο να συνδυάσετε JWT και OAuth μέσω του OpenID Connect.
Η επιλογή σας θα πρέπει να εξαρτάται από τις συγκεκριμένες ανάγκες του έργου σας, όχι μόνο τη διαφημιστική εκστρατεία γύρω από αυτές τις τεχνολογίες.
Επιπλέον, μπορείτε να εξερευνήσετε αυτές τις δημοφιλείς πλατφόρμες ελέγχου ταυτότητας χρηστών για να επιλέξετε την καλύτερη λύση για την εφαρμογή σας.