OAuth2 ve OIDC — Şifreni Vermeden Nasıl Giriş Yapılır?

Bir otelde odana girmek için evinin anahtarını resepsiyona bırakmazsın. Kim olduğunu resepsiyonda kanıtlarsın, eline yalnızca o odayı açan, süresi dolan bir kart verilir. Bir uygulamaya “Google ile giriş” yaptığında olan da budur.

Şifre yalnızca bir yerde

OAuth2?Terimin tanımını açOAuth2Bir uygulamanın, kullanıcının şifresini görmeden onun adına erişim almasını sağlayan yetkilendirme çerçevesi. Şifre yalnızca kimlik sağlayıcıya girilir.Sözlükte gör → ile giriş yaparken uygulama seni kimlik sağlayıcıya yönlendirir; şifreni yalnızca orada girersin. Kimlik sağlayıcı seni uygulamaya kısa ömürlü bir kodla geri gönderir.

Uygulamanın sunucusu bu kodu token’lara çevirir. OpenID Connect ile gelen ID token?Terimin tanımını açID tokenOpenID Connect'in uygulamaya verdiği, kimin giriş yaptığını söyleyen imzalı token. API çağrıları için değil, uygulamanın kendisi içindir.Sözlükte gör → kimin giriş yaptığını söyler; access token ise API çağrılarında kullanılır.

İki küçük parametre

PKCE?Terimin tanımını açPKCEProof Key for Code Exchange: girişi başlatan uygulamanın ürettiği doğrulayıcı. Kodu token'a çevirmek için gerekir; çalınan kod tek başına işe yaramaz.Sözlükte gör → ile uygulama girişi başlatırken rastgele bir doğrulayıcı üretir ve kimlik sağlayıcıya yalnızca onun özetini gönderir. Kodu çevirirken doğrulayıcının kendisi istenir; çalınan kod tek başına işe yaramaz.

state ise girişi başlatırken üretilen rastgele bir değerdir. Dönüşte aynı değer gelmezse dönüş reddedilir; böylece saldırganın kendi kodunu taşıyan sahte bir link seni onun hesabına sokamaz.

Kendin gör

1. Varsayılanla oynat. Normal giriş: şifre uygulamaya hiç gelmedi.
2. “Kodu ele geçirdi” seç, PKCE’yi kapat. Saldırgan token aldı.
3. PKCE’yi aç. Token uç noktası reddetti.
4. “Sahte dönüş linki” seç, state’i kapat. Kurban saldırganın hesabına girdi.
5. state’i aç. Dönüş reddedildi.

Tuzaklar

API’ye ID token göndermek. ID token uygulama içindir ve “kim” sorusunu cevaplar. API, kendisi için çıkarılmış ve yetkileri taşıyan access token bekler.

Implicit akışı kullanmak. Token’ı doğrudan tarayıcının adres çubuğuna koyan eski implicit akış artık önerilmiyor. Tarayıcı uygulamaları da authorization code ve PKCE kullanır.

Gizli anahtarı istemciye koymak. Mobil uygulama ya da tarayıcı kodu bir sır saklayamaz; içindeki client secret herkesindir. Bu yüzden onlar için PKCE zorunludur.

Aşağıdaki örnek bir bankanın web uygulamasından: Spring Security girişi kimlik sağlayıcıyla yapıyor, state’i kendisi üretiyor, PKCE açık, API’ye yalnızca access token gidiyor.

1
spring:
2
  security:
3
    oauth2:
4
      client:
5
        registration:
6
          bank-idp:
7
            client-id: banking-web
8
            client-secret: ${IDP_CLIENT_SECRET}
9
            authorization-grant-type: authorization_code
10
            scope: openid, profile, accounts.read
11
            redirect-uri: "{baseUrl}/login/oauth2/code/{registrationId}"
12
        provider:
13
          bank-idp:
14
            issuer-uri: https://id.bank.example

1
@Configuration
2
class SecurityConfig {
3

4
    @Bean
5
    SecurityFilterChain web(HttpSecurity http, ClientRegistrationRepository registrations) throws Exception {
6
        var resolver = new DefaultOAuth2AuthorizationRequestResolver(registrations, "/oauth2/authorization");
7
        resolver.setAuthorizationRequestCustomizer(OAuth2AuthorizationRequestCustomizers.withPkce());
8

9
        return http
10
                .authorizeHttpRequests(auth -> auth.anyRequest().authenticated())
11
                // oauth2Login generates and checks state on every sign-in
12
                .oauth2Login(login -> login.authorizationEndpoint(ep -> ep.authorizationRequestResolver(resolver)))
13
                .build();
14
    }
15
}

1
@Component
2
class AccountsClient {
3

4
    private final RestClient api;
5

6
    AccountsClient(RestClient.Builder builder, OAuth2AuthorizedClientManager clients) {
7
        this.api = builder
8
                .baseUrl("https://api.bank.example")
9
                // the access token travels; the ID token never leaves the web app
10
                .requestInterceptor(new OAuth2ClientHttpRequestInterceptor(clients))
11
                .build();
12
    }
13

14
    List<Account> myAccounts() {
15
        return api.get().uri("/accounts").retrieve().body(new ParameterizedTypeReference<>() {});
16
    }
17
}

1
# The API accepts access tokens issued for it, nothing else.
2
spring:
3
  security:
4
    oauth2:
5
      resourceserver:
6
        jwt:
7
          issuer-uri: https://id.bank.example
8
          audiences: accounts-api

Kendini sına