Oauth2.0: связь между клиентским приложением и сервером авторизации

Question

Я хорошо изучил oauth2.0. Но я совершенно растерялся, когда подошел к той части, где клиент запрашивает токены доступа к серверу авторизации

Как эта связь защищена через tls? В этой связи не участвует пользовательский агент (браузер), поэтому я предполагаю, что это связь клиент-сервер. Итак, как происходит проверка сертификата. Я не помню, чтобы импортировал какой-либо сертификат с сервера Facebook в хранилище ключей для моего тестового приложения.

Я не смог найти правильный ответ по этому поводу

С уважением, Amit

Answer 1

С точки зрения OAuth 2.0 токены доступа являются учетными данными. Маркер доступа можно использовать для доступа к защищенному ресурсу OAuth 2.0.

Когда данные передаются по сети, атаки могут быть направлены на извлечение данных из сети. Если переданные данные не зашифрованы, то такие атаки покажут простые данные, которые были переданы. Если такие данные содержали запрос токена и ответ, то злоумышленник может извлечь токен доступа. Это также выделено в RFC6749 ,

Since requests to the token endpoint result in the transmission of
clear-text credentials (in the HTTP request and response), the
authorization server MUST require the use of TLS as described in
Section 1.6 when sending requests to the token endpoint.

Когда клиент устанавливает соединение с сервером авторизации, это соединение также открывается через обычные сети. Таким образом, атака там тоже присутствует. Вот почему вы должны использовать TLS для запроса токена.

Теперь функциональность TLS - это отдельная тема. Он использует цифровые сертификаты, которые выдаются центрами сертификации (CA). Есть доверенные CA, которым по умолчанию доверяют операционные системы. Поэтому, когда вы подключаетесь к Facebook, если Facebook использует сертификат tls, выданный известным CA, вам не нужно ничего настраивать.