Perché utilizzare OpenID Connect invece di OAuth2 semplice?

OpenID connect ti fornirà un token di accesso più un token ID . Il token ID è un JWT e contiene informazioni sull'utente autenticato. È firmato dal provider di identità e può essere letto e verificato senza accedere al provider di identità.

Inoltre, OpenID connect standardizza un paio di cose che oauth2 lascia alla scelta. per esempio gli ambiti, l'individuazione degli endpoint e la registrazione dinamica dei client.

Ciò semplifica la scrittura di codice che consente all'utente di scegliere tra più provider di identità.

OAuth fornisce solo e dovrebbe fornire solo l'autorizzazione utilizzando un token di accesso. OpenID connect è basato su OAuth 2 per fornire le informazioni di autenticazione dell'utente. Tuttavia, non fornirà un'implementazione più solida di OAuth (poiché utilizza OAuth e aggiunge alcune interazioni aggiuntive con un provider OpenID).

OpenID Connect 1.0 is a simple identity layer on top of the OAuth 2.0 [RFC6749] protocol. It enables Clients to verify the identity of the End-User based on the authentication performed by an Authorization Server, as well as to obtain basic profile information about the End-User in an interoperable and REST-like manner. OpenID Connect Core 1.0 - draft 17

OpenID connect offre un modo "standard" per ottenere l'identità dell'utente. Se utilizzi OAuth e l'API, dovresti adattare la richiesta per ogni risorsa, che potrebbe non fornire sempre le stesse informazioni o potrebbe cambiare nel tempo. E concettualmente, si utilizza OAuth per poter utilizzare un'API, non per autenticare un utente.

As background, the OAuth 2.0 Authorization Framework [RFC6749] and OAuth 2.0 Bearer Token Usage [RFC6750] specifications provide a general framework for third-party applications to obtain and use limited access to HTTP resources. They define mechanisms to obtain and use Access Tokens to access resources but do not define standard methods to provide identity information. Notably, without profiling OAuth 2.0, it is incapable of providing information about the authentication of an End-User. OpenID Connect Core 1.0 - draft 17

Nota che OpenID connect fornisce un id_token con alcune informazioni sull'utente. Tuttavia, se si desidera l'intero set di informazioni, è comunque necessario il access_token per richiedere al provider OpenID di ottenere l'utenteinfo (che mi ha confuso la prima volta che l'ho visto). Ciò dimostra che la richiesta di informazioni utente da un'API o dal provider OpenID utilizza quasi lo stesso metodo. Vedere 5.3.1. userinfo request nella bozza.

OpenID Connect è un profilo di OAuth2 ... che definisce un'architettura che consente a una persona di autorizzare un provider di identità a rilasciare determinate rivendicazioni utente a un client (sito Web / applicazione mobile).

OAuth2 offre il sussidio per le credenziali delle password del proprietario delle risorse, che è giustamente infastidito dagli esperti IAM come "Il diavolo".

Un modello comune per OpenID Connect API è di tre passi:
1) Ottieni un codice
2) Ottieni token come access_token , refresh_token e id_token
3) Ottieni informazioni utente che contengono reclami come nome utente, email, ecc Lo schema per id_token, che è un JWT, è definito nell'ambito OpenID Connect, come molti altri dettagli.

Un altro motivo per usare OpenID Connect è che esiste una soluzione sicura per l'autenticazione centralizzata per il software mobile (almeno IOS e Android). L'attuale best practice definita da Google consiste nell'utilizzare nuove funzionalità di sicurezza che impediscono a un'applicazione mobile di visualizzare cookie o credenziali in una visualizzazione Web. Google ha pubblicato le librerie AppAuth IOS e Android perché in realtà non vogliono che tu perda le credenziali di Google! Al momento della stesura di questo documento, esistono diversi provider OpenID (noti anche come IDP ...) che supportano il software Google OpenID Connect AppAuth, tra cui: Google, OKTA, Ping e il mio prodotto Gluu.

Vedi anche:

• OAuth 2.0 per le app native draft-wdenniss-oauth-native-apps-02
• AppAuth per IOS
• AppAuth per Android

L'uso di OAuth come metodo di autenticazione non è raccomandato, è esplicitamente progettato come metodo di autorizzazione delegato.

Facebook utilizzava OAuth come metodo di autenticazione, ma una persona intraprendente ha scoperto come rubare access_token da Facebook - blog completo

OpenID Connect rende molto più difficile rubare i token di accesso attraverso tale meccanismo.

Open id connect è costruito nella parte superiore di OAuth e quindi è più robusto. OAuth è il protocollo utilizzato solo per l'autorizzazione e open id connect è molto simile a OAuth ma combina anche la funzionalità di OAuth. Puoi iniziare la comunicazione tra i tuoi RP e IP usando questo protocollo e i loro vari buchi nel protocollo OAuth è il motivo per cui è meglio usare Open Id Connect.