OAuth

OAuth (اُآت) یا احراز هویت باز، یک قرارداد باز است که به کاربران خدمات اینترنتیِ بکارگیرندهٔ آن اجازه می‌دهد اطلاعات کاربری‌شان را بدون نیاز به دادن گذرواژه و نام کاربری، به صورت امن، با خدمات دیگر به اشتراک بگذارند. برخی از وب‌گاه‌های مهم از جمله توییتر از اُآذ پشتیبانی می‌کنند، و برای ارتباط از طریق آن کتابخانه‌هایی در زبان‌های برنامه‌نویسی مختلف وجود دارد. این شیوه یک سازوکار کسب اجازه را معین می‌کند که از راه آن خدمات دیگر اجازه می‌یابند کارهای مشخصی را از طرف کاربر انجام دهند.

OAuth اجازه‌ها را از راه توکن‌ها دسترسیAccess token صادر می‌کند. این قرارداد مشخص می‌کند که یک کارخواه (کلاینت)چگونه باید از کارساز (سرور)درخواست توکن دسترسی را نماید و چگونه در زمان لازم آن را ارائه نماید.

نسخهٔ ۱ از OAuth در اواخر سال ۲۰۰۶ میلادی ایجاد شد و هم‌اکنون نسخهٔ ۲ آن نیز ارائه شده است که با نسخهٔ پیشین سازگاری عقب‌رو ندارد.

 مشکلات روش‌های قدیمی‌تر 
در گذشته توسعه‌دهندگان نرم‌افزارهای کاربردی تحت وب مجبور بودند برای ارتباط با خدمات دیگر، مانند تقویم گوگل، از کاربران بخواهند نام کاربری و گذرواژهٔ خود را به آن‌ها بدهند و سپس از طریق استانداردی مانند اصالت‌سنجی برای دسترسی‌های اولیه، یا با کمک رابط برنامه‌نویسی نرم‌افزار مختص به همان خدمت، با آن ارتباط برقرار کنند. این کار علاوه بر مشکلات امنیتی، از دید توسعه‌دهندگان که مجبور بودند روش کار با رابط‌های برنامه‌نویسی مختلف را بیاموزند نیز دشوار بود. اآذ راه حلی برای غلبه بر این مشکلات است.

دادن مستقیم گذرواژه سرویس‌های دیگر دارای مشکلات زیر است:
 نیاز به اعتماد قوی کاربر به نرم‌افزار درخواست‌کنندهٔ گذرواژه
 مسئولیت سنگین توسعه‌دهندهٔ نرم‌افزار برای حفظ و نگهداری امن گذرواژه و جلوگیری از لورفتن آن
 افزایش آسیب‌پذیری کاربران در مقابل حملات فیشینگ
 دادن دسترسی بیش از حد نیاز (در حالی که یک نرم‌افزار ممکن است تنها به بخش خاصی از اطلاعات حساب کاربری نیاز داشته باشد نه تمام آن)
 از بین رفتن دسترسی نرم‌افزار با تغییر گذرواژهٔ حساب، توسط کاربر
 نبود راهی ساده برای گرفتن دسترسی یک نرم‌افزار خاص (با تغییر گذرواژه همهٔ نرم‌افزارهایی که از آن گذرواژه استفاده می‌کرده‌اند از کار خواهند افتاد)
 دشواری در پیاده‌سازی روش‌های ایمن‌سازی دیگر مانند استفاده از کپچا یا اصالت‌سنجی چندعاملیMulti-factor authentication

حتی در روش‌های اصالت‌سنجی همبسته مانند اپن‌آی‌دی نیز همچنان نیاز است که کاربر گذرواژهٔ حساب اپن‌آی‌دی خود را در وب‌گاه واسطه وارد کند.

 واژه‌نامه 

 منابع 





رده:استانداردهای رایانش ابری
رده:پروتکل‌های اینترنت
رده:پروتکل‌های کنترل دسترسی رایانه
رده:کنترل دسترسی رایانه
رده:معرفی‌شده‌های ۲۰۰۷ (میلادی)
رده:معرفی‌شده‌های مرتبط با رایانه در ۲۰۰۷ (میلادی)
رده:متعلقات اینترنت بنیان‌گذاری‌شده در ۲۰۰۷ (میلادی)