OAuth(2)

INNOQ Security Podcast

Vollmachten im Netz

OAuth 1.0

• Die OAuth 1.0 Spec: RFC5849
• OAuth and the Road to Hell -- nur noch über die Wayback Machine verfügbar
• Die OAuth 2.0 Homepage

OAuth 2.0

• OAuth 2.0 Core Spec: RFC 6749
• Bearer Token Usage: RfC 6750
• Token Introspection: RFC 7662
• Discovery: RFC 8414
• OAuth 2.0 Threat Model und Security Best Practice

OAuth 2.1

• Übersicht OAuth 2.1

Software

• Open Source: Keycloak, ORY Hydra, Glewlwyd
• Kommerziell: Red Hat Single Sign-On, Okta, Auth0

Feedback

Falls ihr Fragen oder Anregungen habt, schreibt uns gerne eine E-Mail an [e-mail].

Kapitel

1. Intro und Begrüßung (00:00:00)

2. Was ist OAuth? (00:00:41)

3. Kernaspekt: Delegation von Berechtigung (00:01:43)

4. Welches Problem soll OAuth lösen? (00:02:14)

5. OAuth 1 vs. OAuth 2 (00:04:48)

6. Akteure / Rollen in OAuth (00:11:16)

7. OAuth2 Flows (00:17:50)

8. Implicit Flow (00:21:31)

9. Authorization Code Grant Flow (00:27:22)

10. Implicit vs. Authorization Code Grant Flow (00:30:50)

11. Client Credentials Grant und Resource Owner Password Flow (00:33:38)

12. Refresh Tokens (00:38:29)

13. Token Handling (00:42:31)

14. Protokoll vs. Framework: warum gibt es Lücken in der Spec? (00:47:47)

15. Die relevanten Specs / RFCs (00:51:50)

16. Sicherheitsaspekte und Angriffsvektoren (00:58:57)

17. Welche Software gibt es? (01:05:12)

18. Was muss ich als Entwickly (noch) tun? (01:10:37)

19. Ausblick: OAuth 2.1 (01:15:47)

20. Alternativen zu OAuth? (01:20:20)

21. Evolutions- und Entwicklungswirren bei OAuth und Specs im Allgemeinen (01:24:01)

22. Verabschiedung und Outro (01:34:40)