Nghiên Cứu Giao Thức OAuth và Ứng Dụng Trong Xác Thực Luận Văn Thạc Sĩ Ngành Công Nghệ Thông Tin

Luận văn thạc sĩ phân tích nghiên cứu giao thức oauth và ứng dụng trong xác thực, đánh giá thực trạng, chỉ ra hạn chế, đề xuất giải pháp khả thi cho thực tiễn.

• Tác giả: Nguyễn Hồng Nhung
• Người hướng dẫn: PGS. Nguyễn Hải Châu
• Trường học: Đại học Quốc gia Hà Nội
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Nghiên Cứu Giao Thức OAuth và Ứng Dụng Trong Xác Thực Người Dùng
• Loại tài liệu: luận văn thạc sĩ
• Năm xuất bản: 2014
• Địa điểm: Hà Nội

Tóm tắt

I. Tổng Quan Về Xác Thực Người Dùng và Các Phương Pháp

Xác thực là nền tảng của bảo mật hệ thống, đảm bảo chỉ người dùng hợp lệ mới có quyền truy cập. Quá trình này xác minh danh tính của người dùng thông qua nhiều phương thức. Nhận dạng, bước đầu tiên, thu thập thông tin định danh công khai. Sau đó, xác thực đòi hỏi thông tin bí mật như mật khẩu hoặc sinh trắc học. Việc sử dụng kết hợp các phương pháp tăng cường đáng kể tính bảo mật. Nhiều giao thức, phương pháp và kỹ thuật xác thực khác nhau tồn tại, mỗi loại phù hợp với các yêu cầu bảo mật khác nhau. Sự phát triển của các ứng dụng web và di động đã thúc đẩy sự đổi mới liên tục trong lĩnh vực này. Ví dụ, Luận văn này đi sâu vào giao thức OAuth và ứng dụng của nó trong việc xác thực người dùng web qua tài khoản Facebook, cho phép chia sẻ liên kết lên tường Facebook. Chương này cung cấp cái nhìn tổng quan về xác thực, phân loại các phương thức xác thực theo đặc điểm sử dụng và giới thiệu một số giao thức xác thực cơ bản.

1.1. Phân Loại Các Phương Thức Xác Thực Phổ Biến

Các phương thức xác thực có thể được phân thành ba loại chính: dựa trên tri thức, dựa trên sự sở hữu và dựa trên sinh trắc học. Phương thức dựa trên tri thức, sử dụng mật khẩu, PIN hoặc câu hỏi bí mật, là phổ biến nhất. Phương thức dựa trên sự sở hữu, sử dụng thẻ hoặc thiết bị vật lý, bổ sung thêm một lớp bảo mật. Phương thức dựa trên sinh trắc học, sử dụng vân tay, khuôn mặt hoặc giọng nói, cung cấp mức độ bảo mật cao nhất nhưng cũng có chi phí cao hơn và có thể gây xâm phạm quyền riêng tư. Việc lựa chọn phương thức xác thực phù hợp phụ thuộc vào mức độ bảo mật cần thiết và sự tiện lợi cho người dùng.

1.2. Giới Thiệu Các Giao Thức Xác Thực Cơ Bản Hiện Nay

Nhiều giao thức xác thực tồn tại, mỗi giao thức được thiết kế cho các môi trường và yêu cầu bảo mật khác nhau. PAP (Password Authentication Protocol) là một giao thức đơn giản nhưng không an toàn vì mật khẩu được gửi ở dạng văn bản thuần túy. CHAP (Challenge-Handshake Authentication Protocol) sử dụng một cơ chế thách thức-phản hồi để cải thiện bảo mật. RADIUS (Remote Authentication Dial-In User Service) là một giao thức tập trung thường được sử dụng để quản lý truy cập mạng. EAP (Extensible Authentication Protocol) cung cấp một khuôn khổ linh hoạt hỗ trợ nhiều phương pháp xác thực khác nhau. Kerberos là một giao thức mật mã sử dụng khóa đối xứng để xác thực trong mạng. Trong các ứng dụng web, OAuth và OpenID là hai giao thức phổ biến cho phép ủy quyền và xác thực từ các nhà cung cấp dịch vụ bên thứ ba.

II. OAuth 2

OAuth 2.0 là một giao thức ủy quyền mở, cho phép ứng dụng truy cập tài nguyên của người dùng trên các dịch vụ web khác mà không cần tiết lộ thông tin đăng nhập của người dùng. Nó hoạt động bằng cách cấp cho ứng dụng một mã thông báo truy cập (Access Token) giới hạn quyền truy cập vào các tài nguyên cụ thể trong một khoảng thời gian nhất định. OAuth 2.0 được sử dụng rộng rãi trong các ứng dụng web và di động để cho phép xác thực người dùng thông qua các nhà cung cấp dịch vụ bên thứ ba như Facebook, Google và Twitter. Giao thức này cải thiện đáng kể trải nghiệm người dùng bằng cách giảm số lượng tài khoản và mật khẩu mà người dùng cần quản lý. Đồng thời, nó tăng cường tính bảo mật bằng cách ngăn chặn các ứng dụng truy cập trực tiếp vào thông tin đăng nhập của người dùng.

2.1. Chi Tiết Về Cơ Chế Hoạt Động Của Giao Thức OAuth 2.0

OAuth 2.0 hoạt động thông qua một loạt các tương tác giữa người dùng, ứng dụng, máy chủ ủy quyền và máy chủ tài nguyên. Người dùng bắt đầu yêu cầu truy cập tài nguyên từ ứng dụng. Ứng dụng chuyển hướng người dùng đến máy chủ ủy quyền để xác thực. Máy chủ ủy quyền yêu cầu người dùng cấp quyền cho ứng dụng truy cập tài nguyên. Sau khi người dùng cấp quyền, máy chủ ủy quyền cấp cho ứng dụng một mã thông báo truy cập. Ứng dụng sử dụng mã thông báo truy cập để truy cập tài nguyên từ máy chủ tài nguyên. Quá trình này đảm bảo rằng ứng dụng chỉ có thể truy cập các tài nguyên mà người dùng đã cấp quyền.

2.2. Các Loại Cấp Quyền Grant Types Phổ Biến Trong OAuth 2.0

OAuth 2.0 hỗ trợ nhiều loại cấp quyền khác nhau, mỗi loại phù hợp với các tình huống khác nhau. Authorization Code Grant là loại cấp quyền phổ biến nhất, được sử dụng cho các ứng dụng web và di động. Implicit Grant được sử dụng cho các ứng dụng web phía máy khách không thể lưu trữ bí mật. Resource Owner Password Credentials Grant được sử dụng cho các ứng dụng tin cậy trực tiếp người dùng. Client Credentials Grant được sử dụng cho các ứng dụng máy chủ-máy chủ không cần sự tham gia của người dùng. Lựa chọn loại cấp quyền phù hợp phụ thuộc vào kiến trúc và yêu cầu bảo mật của ứng dụng.

2.3. Tìm Hiểu Về Mã Thông Báo Truy Cập Access Token và Mã Làm Mới Refresh Token

Mã thông báo truy cập (Access Token) là một chuỗi ký tự cho phép ứng dụng truy cập tài nguyên được bảo vệ. Mã thông báo truy cập có thời hạn hiệu lực ngắn và cần được làm mới định kỳ. Mã làm mới (Refresh Token) là một chuỗi ký tự cho phép ứng dụng yêu cầu mã thông báo truy cập mới mà không cần sự tương tác của người dùng. Mã làm mới có thời hạn hiệu lực dài hơn và cần được lưu trữ an toàn. Việc sử dụng mã làm mới giúp cải thiện trải nghiệm người dùng bằng cách giảm số lần người dùng cần xác thực.

III. OpenID Connect Mở Rộng OAuth Cho Xác Thực Danh Tính

OpenID Connect (OIDC) là một lớp xác thực danh tính đơn giản được xây dựng trên giao thức OAuth 2.0. Nó cho phép ứng dụng xác thực danh tính của người dùng dựa trên xác thực của một nhà cung cấp danh tính (Identity Provider - IdP) mà không cần truy cập vào thông tin đăng nhập của người dùng. OIDC cung cấp thông tin về người dùng (claims) dưới dạng JSON Web Token (JWT), cho phép ứng dụng truy cập thông tin người dùng một cách an toàn và tiêu chuẩn.

3.1. Phân Biệt Sự Khác Nhau Giữa OAuth 2.0 và OpenID Connect

Mặc dù OpenID Connect được xây dựng trên OAuth 2.0, hai giao thức này có mục đích khác nhau. OAuth 2.0 chủ yếu là một giao thức ủy quyền, cho phép một ứng dụng truy cập tài nguyên của người dùng trên một dịch vụ khác. OpenID Connect chủ yếu là một giao thức xác thực danh tính, cho phép một ứng dụng xác thực danh tính của người dùng dựa trên xác thực của một nhà cung cấp danh tính. OpenID Connect sử dụng OAuth 2.0 để bảo mật quá trình trao đổi thông tin danh tính.

3.2. JSON Web Token JWT và Vai Trò Trong OpenID Connect

JSON Web Token (JWT) là một định dạng mã thông báo mở được sử dụng để truyền tải thông tin giữa các bên dưới dạng đối tượng JSON được ký điện tử. Trong OpenID Connect, JWT được sử dụng để truyền tải thông tin về người dùng (claims) từ nhà cung cấp danh tính đến ứng dụng. JWT chứa thông tin như tên người dùng, địa chỉ email và các thuộc tính khác. JWT được ký điện tử bằng khóa riêng của nhà cung cấp danh tính, cho phép ứng dụng xác minh tính xác thực của thông tin.

3.3. Lợi Ích Của Việc Sử Dụng OpenID Connect Trong Xác Thực

OpenID Connect mang lại nhiều lợi ích so với các phương pháp xác thực truyền thống. Nó đơn giản hóa quá trình xác thực bằng cách cho phép người dùng sử dụng một tài khoản duy nhất để đăng nhập vào nhiều ứng dụng. Nó cải thiện tính bảo mật bằng cách giảm số lượng mật khẩu mà người dùng cần quản lý và ngăn chặn các ứng dụng truy cập trực tiếp vào thông tin đăng nhập của người dùng. Nó cung cấp một cách tiêu chuẩn và an toàn để truy cập thông tin người dùng. Ngoài ra, việc sử dụng OpenID Connect giúp giảm thiểu rủi ro về bảo mật thông tin và tăng cường khả năng tương tác giữa các ứng dụng khác nhau.

IV. Ứng Dụng OAuth Kết Nối Facebook và Drupal Cho Xác Thực

Việc tích hợp OAuth vào các ứng dụng web như Drupal mang lại trải nghiệm xác thực liền mạch cho người dùng. Bằng cách sử dụng Facebook làm nhà cung cấp danh tính OAuth, người dùng có thể dễ dàng đăng nhập vào trang web Drupal của bạn bằng tài khoản Facebook hiện có của họ. Điều này không chỉ đơn giản hóa quá trình đăng ký và đăng nhập mà còn tăng cường bảo mật bằng cách tận dụng cơ sở hạ tầng xác thực đã được thiết lập của Facebook. Luận văn gốc đã trình bày chi tiết quy trình xây dựng ứng dụng kết nối Facebook và Drupal thông qua OAuth.

4.1. Thiết Lập Ứng Dụng Facebook Cho Xác Thực OAuth

Bước đầu tiên là tạo một ứng dụng trên Facebook Developer Platform. Ứng dụng này sẽ đóng vai trò là cầu nối giữa trang web Drupal của bạn và hệ thống xác thực của Facebook. Trong quá trình thiết lập, bạn cần cung cấp các thông tin như tên ứng dụng, URL chuyển hướng (redirect URI) và các quyền (permissions) mà ứng dụng cần. URL chuyển hướng là địa chỉ mà Facebook sẽ chuyển hướng người dùng sau khi họ đã xác thực thành công.

4.2. Cấu Hình Module Drupal Để Kết Nối Với Facebook OAuth

Sau khi có ứng dụng Facebook, bạn cần cài đặt và cấu hình một module Drupal tương thích với OAuth. Có nhiều module Drupal miễn phí và trả phí hỗ trợ tích hợp OAuth. Bạn cần cung cấp Client ID và Client Secret của ứng dụng Facebook vào cấu hình module Drupal. Ngoài ra, bạn cũng cần cấu hình các quyền (permissions) mà module Drupal cần để truy cập thông tin người dùng Facebook.

4.3. Triển Khai Chức Năng Chia Sẻ Nội Dung Lên Facebook Từ Drupal

Sau khi xác thực thành công, bạn có thể triển khai các chức năng cho phép người dùng chia sẻ nội dung từ trang web Drupal của bạn lên Facebook. Điều này có thể được thực hiện bằng cách sử dụng Facebook Graph API. Bạn cần có mã thông báo truy cập (Access Token) để gọi Facebook Graph API. Module Drupal của bạn có thể quản lý việc thu thập và lưu trữ mã thông báo truy cập này.

V. Security Best Practices OAuth 2

Để đảm bảo tính bảo mật của ứng dụng OAuth 2.0, cần tuân thủ các phương pháp bảo mật tốt nhất. Điều này bao gồm bảo vệ Client Secret, sử dụng HTTPS cho tất cả các giao tiếp, xác thực URL chuyển hướng và hạn chế phạm vi của Access Token. Cần thường xuyên kiểm tra và cập nhật các thư viện và framework OAuth 2.0 để vá các lỗ hổng bảo mật.

5.1. Các biện pháp bảo vệ Client Secret OAuth 2.0

Client Secret là một thông tin nhạy cảm, cần được bảo vệ khỏi truy cập trái phép. Không nên nhúng Client Secret vào mã nguồn phía client (ví dụ: ứng dụng JavaScript). Thay vào đó, nên lưu trữ Client Secret trên máy chủ an toàn và chỉ sử dụng trong các giao tiếp server-to-server. Nên sử dụng mã hóa để bảo vệ Client Secret khi lưu trữ và truyền tải.

5.2. HTTPS và URL chuyển hướng an toàn

HTTPS (HTTP Secure) là một giao thức truyền tải dữ liệu an toàn, sử dụng mã hóa SSL/TLS để bảo vệ dữ liệu khỏi bị nghe lén hoặc giả mạo. Luôn sử dụng HTTPS cho tất cả các giao tiếp OAuth 2.0, bao gồm cả việc chuyển hướng người dùng đến máy chủ ủy quyền và truy cập tài nguyên được bảo vệ. Nên xác thực URL chuyển hướng để ngăn chặn các cuộc tấn công chuyển hướng.

5.3. Giới hạn Phạm vi Scope của Access Token OAuth 2.0

Khi yêu cầu Access Token, nên giới hạn phạm vi (scope) của Access Token chỉ cho các tài nguyên và hành động cần thiết. Điều này giúp giảm thiểu tác động nếu Access Token bị lộ hoặc bị đánh cắp. Không nên yêu cầu quyền truy cập quá mức cần thiết. Nên thường xuyên xem xét và cập nhật phạm vi của Access Token khi ứng dụng có thêm chức năng.

Trích đoạn nội dung tài liệu

Chương 1. TỔNG QUAN VỀ XÁC THỰC Xác thực là một phần không thể thiếu được trong kiến trúc bảo mật của một hệ thống bất kì. Chương này cung cấp cái nhìn tổng quan về xác thực, phân loại các phương thức xác thực theo đặc điểm sử dụng và giới thiệu một số giao thức xác thực cơ bản. Khái niệm [11] Xác thực (Authentication) là một hành động nhằm chứng thực một cái gì đó (hoặc một người nào đó) đáng tin cậy, nghĩa là những lời khai báo do người đó đưa ra hoặc về vật đó là sự thật.

Xác thực một đối tượng còn có nghĩa là công nhận nguồn gốc của đối tượng, trong khi, xác thực một người thường là thẩm tra nhận dạng họ. Xác thực liên quan đến nhiều lĩnh vực nhưng trong khoa học máy tính, xác thực là quá trình mà một hệ thống xác minh danh tính của người dùng nào đó muốn truy cập vào nó, để đảm bảo quyền truy cập vào hệ thống hay dữ liệu bí mật trong nó. Xác thực có thể được thực hiện bằng thẻ thông minh, hoặc Authentication Server hoặc cơ sở hạ tầng khóa công khai. nhưng thông dụng nhất là sử dụng tài khoản với tên người dùng và mật khẩu.

Xác thực là điều cần thiết để bảo mật hệ thống hiệu quả. Các phương thức xác thực [9] Các phương thức xác thực có thể phân thành 3 loại theo đặc điểm chúng được sử dụng như trong hình 1. Phân loại các phương thức xác thực (LUAN.thuc TIEU LUAN MOI download : skknchat@gmail. Xác thực dựa theo tri thức Đây là phương thức sử dụng rộng rãi nhất hiện nay và đã trở nên quen thuộc với người dùng.

Phương thức này sử dụng mật khẩu bằng dãy kí tự: từ, cụm từ hay câu; mật khẩu bằng hình ảnh, nhận dạng khuân mặt hay sử dụng mã số cá nhân (PINs). Đối với mạng công cộng không bảo đảm, để xác thực thì chứng thư số và chữ kí số được sử dụng. Xác thực dựa theo sự sở hữu Xác thực dựa theo sự sở hữu (hay xác thực dựa theo thẻ) sẽ dựa vào những gì mà người dùng có, chủ yếu là các đối tượng vật lý, chẳng hạn như thẻ. Tồn tại của phương thức này là thẻ không chứng minh được quyền sở hữu vì nó dễ dàng bị đánh cắp hoặc được nhân đôi bởi các phương tiện gian lận tinh vi.

Thẻ nhớ sản xuất không tốn kém. Sử dụng thẻ nhớ với cơ chế xác thực dựa trên tri thức chẳng hạn như mã PIN sẽ bảo mật hơn nhiều so với việc dùng thẻ hay mã PIN đơn lẻ. Xác thực dựa theo sinh trắc học Đây là phương thức dựa trên các đặc điểm sinh lý hay hành vi của người dùng, đó là các thuộc tính vật lý ổn định của họ như: vân tay, võng mạc, khuân mặt, giọng nói, loại máu, những chi tiết sinh học nhỏ trên cơ thể người dùng… Phương thức này đem lại hiệu quả bảo mật rất cao vì nó không dễ dàng bị đánh cắp hoặc được chia sẻ, tuy nhiên nó không được sử dụng phổ biến và chủ yếu được sử dụng trong các hệ thống với mức độ bảo mật rất cao vì: - Tốn kém: yêu cầu phần cứng đặc biệt. - Được cho là có thể xâm lấn về quyền riêng tư.

- Có thể bị phân tích và một lần bị đánh cắp thì không thể được sử dụng nữa. Các giao thức xác thực [11] Giao thức xác thực là loại giao thức mã hóa với mục đích chứng thực các thực thể có nhu cầu giao tiếp an toàn. Hiện nay có rất nhiều các giao thức xác thực được sử dụng như: PAP, CHAP, EAP, RADIUS, HIP, KERBEROS, PEAP.  Giao thức PAP (Password Authentication Protocol): là một giao thức xác thực đơn giản, trong đó tên người dùng và mật khẩu sẽ được gửi đến máy chủ truy cập từ xa dưới dạng bản rõ để xác thực.

Sử dụng PAP là không an toàn vì mật khẩu có thể dễ dàng đọc được từ các gói tin trao đổi trong quá trình xác thực. Vì thế PAP thường được (LUAN.thuc TIEU LUAN MOI download : [e-mail] 11 sử dụng như một phương sách cuối cùng khi các máy chủ từ xa không hỗ trợ giao thức xác thực mạnh hơn.  Giao thức CHAP (Challenge-Handshake Authentication Protocol): là một giao thức bắt tay ba chiều bởi vì nó bao gồm ba bước để thực hiện kiểm tra một kết nối sau khi kết nối được khởi tạo đầu tiên, hay tại bất kỳ thời điểm nào sau khi kết nối được thiết lập. Với CHAP, máy chủ truy cập từ xa sẽ gửi một thử thách cho máy khách truy cập từ xa.

Các máy khách này sử dụng một thuật toán băm (còn gọi là hàm băm) để tính toán một Message Digest-5 (MD5) dựa vào các thử thách và kết quả băm từ mật khẩu của người dùng. Các máy khách sẽ gửi kết quả băm MD5 cho máy chủ truy cập từ xa. Các máy chủ truy cập từ xa cũng có quyền truy cập vào kết quả băm từ mật khẩu người dùng, thực hiện các tính toán tương tự bằng thuật toán băm và so sánh kết quả với kết quả mà máy khách gửi. Nếu kết quả phù hợp, các thông tin của máy khách truy cập từ xa được coi là đáng tin cậy.

Vì thuật toán băm cung cấp mã hóa một chiều, có nghĩa là tính toán kết quả băm cho một khối dữ liệu là dễ dàng, nhưng việc xác định khối dữ liệu ban đầu từ kết quả băm là không khả thi toán học, hơn nữa thử thách là ngẫu nhiên, nên giao thức CHAP cung cấp một lá chắn có hiệu quả chống lại sự tấn công lặp lại.  Giao thức KERBEROS: là một giao thức mật mã dùng để xác thực trong các mạng máy tính hoạt động trên những đường truyền không an toàn. Giao thức Kerberos có khả năng chống lại việc nghe lén hay gửi lại các gói tin cũ và đảm bảo tính toàn vẹn của dữ liệu. Mục tiêu khi thiết kế giao thức này là nhằm vào mô hình máy chủ-máy khách (Client-Server) và đảm bảo nhận thực cho cả hai chiều.

Giao thức được xây dựng dựa trên mã hóa khóa đối xứng và cần đến một bên thứ ba tham gia vào quá trình nhận thực gọi là "trung tâm phân phối khóa" (tiếng Anh: key distribution center - KDC). KDC bao gồm hai chức năng: "máy chủ xác thực" (Authentication Server - AS) và "máy chủ cung cấp vé" (ticket granting Server - TGS). "Vé" trong hệ thống Kerberos chính là các chứng thực chứng minh tính hợp lệ của người dùng. Mỗi người dùng (cả máy chủ và máy khách) trong hệ thống chia sẻ một khóa chung với máy chủ Kerberos.

Việc sở hữu thông tin về khóa chính là bằng chứng để chứng minh tính hợp lệ của một người dùng. Trong mỗi giao dịch giữa hai người dùng trong hệ thống, máy chủ Kerberos sẽ tạo ra một khóa phiên dùng cho phiên giao dịch đó. Đây là một trong những giao thức được sử dụng rộng rãi nhất trong môi trường mạng.thuc TIEU LUAN MOI download : [e-mail] 12  Giao thức RADIUS (Remote Authentication Dial-In Use Service): Là một trong những giao thức mạng lâu đời nhất, giúp xác thực, ủy quyền, quản lý người dùng kết nối và sử dụng dịch vụ mạng. Nó thường được sử dụng bởi các ISP và các doanh nghiệp để quản lý truy cập vào Internet hay mạng nội bộ, mạng không dây và các dịch vụ e-mail tích hợp.

Các mạng lưới này có thể kết hợp modem, DSL, các điểm truy cập, mạng riêng ảo, cổng mạng hay máy chủ web. RADIUS chạy như một chương trình phần mềm trên máy chủ. Các máy chủ thường được sử dụng dành riêng cho xác thực RADIUS. Khi người dùng cố gắng kết nối vào mạng, chương trình máy khách RADIUS hướng tất cả dữ liệu người dùng tới máy chủ RADIUS để xác thực.

Các máy chủ lưu trữ dữ liệu người dùng để xác thực dưới dạng mã hóa và gửi phản hồi lại nền kết nối. Xác thực được thiết lập hoặc bị từ chối. Nếu bị từ chối, người dùng thử lại. Nếu xác thực được thiết lập, sự tương tác RADIUS kết thúc.

Dịch vụ mạng yêu cầu xác thực được xử lý bởi các giao thức khác nếu cần thiết.  Giao thức EAP (Extensible Authentication Protocol): là giao thức truyền thông được sử dụng thông qua các loại cơ chế xác thực khác nhau, chẳng hạn như thẻ token, Kerberos, mật khẩu một lần, giấy chứng nhận, xác thực khóa công khai và các thẻ thông minh. Trong giao tiếp không dây sử dụng EAP, người dùng muốn kết nối vào một mạng WLAN thông qua một AP, AP sẽ yêu cầu danh tính của người sử dụng và truyền danh tính này đến một máy chủ xác thực như RADIUS. Các máy chủ yêu cầu AP cho các thông tin nhận được từ người sử dụng, gửi lại cho máy chủ để hoàn tất việc xác thực.

Ngoài các giao thức xác thực trên còn có nhiều giao thức xác thực khác, nhưng trong các ứng dụng web thì được sử dụng phổ biến là có hai giao thức OAuth và OpenID. Hai giao thức này sẽ được trình bày ở chương kế tiếp.thuc TIEU LUAN MOI download : [e-mail] 13 Chương 2. GIAO THỨC XÁC THỰC OAUTH VÀ OPENID Có rất nhiều giao thức xác thực trên internet: Google AuthSub, AOL OpenAuth, Yahoo BBAuth, Facebook Auth, Upcoming API, Flickr API, Amazon Web Services API… cho lập trình viên khi phát triển ứng dụng web. Nhưng phổ biến hiện nay là giao thức OAuth và OpenID vì chúng tuân theo chuẩn chung và có rất nhiều ưu điểm.

Giao thức xác thư ̣c OAuth 2. Khái niệm [11, 14] OAuth là một giao thức mở để xác thực. OAuth cung cấp cho các máy khách phương pháp truy cập tài nguyên của máy chủ. Đồng thời OAuth cho phép người sử dụng xác thực việc sử dụng tài nguyên của bên thứ ba mà không làm lộ các thông tin bí mật như tên người sử dụng, mật khẩu v.

OAuth cơ bản sử dụng “access token” cấp cho máy khách bởi một máy chủ ủy quyền, với sự chấp thuận của chủ sở hữu nguồn tài nguyên. Các máy khách sau đó sử dụng “access token” để truy cập các nguồn tài nguyên được bảo vệ trên máy chủ tài nguyên. Ví dụ, một ứng dụng trò chơi có thể truy cập vào dữ liệu người sử dụng trong các ứng dụng Facebook, hoặc một ứng dụng dựa trên địa điểm có thể truy cập dữ liệu người sử dụng của ứng dụng Foursquare.1 minh họa cho khái niệm trên. Ví dụ về cách OAuth 2.0 được sử dụng để chia sẻ dữ liệu OAuth được phát triển từ 11/2006.

Do sự tiện lợi, OAuth đang được phát triển lên các phiên bản cao hơn. Hiện nay, OAuth 2.0 thay thế cho OAuth 1.0 phức tạp hơn, nó yêu cầu các giấy chứng nhận liên quan.0 đơn giản hơn, nó không đòi hỏi tất cả giấy chứng nhận mà chỉ cần SSL/TLS.