Die sichere Verwaltung von Benutzern und deren Zugriffsrechten gehört zu den grundlegenden Herausforderungen der Entwicklung von Software. Besonders in einer vernetzten Welt, in der Anwendungen Daten über APIs austauschen und verschiedene Plattformen unterstützen müssen, ist hier eine robuste Lösung unerlässlich. An dieser Stelle setzt etwa OAuth 2.0 an – ein Protokoll für die standardisierte und sichere Authentifizierung und Autorisierung von Benutzern. OAuth2 wurde maßgeblich von der Internet Engineering Taskforce (IETF) vorangetrieben und Ende 2012 in einem RFC veröffentlicht. Die Erfahrungen aus der Benutzung der ersten Version von 2009 sind hier eingeflossen und in einer größeren Community abgestimmt. Die Idee ist einfach: Ein zentraler Logindienst verwaltet Benutzer, deren Einstellungen und Anmeldedaten. Einmal registrierte Anwendungen können die Benutzer dann damit authentifizieren und Berechtigungen für die Nutzung umsetzen.

Diese zentrale Verwaltung schafft eine klare Trennung zwischen Benutzeridentitäten und den eigentlichen Anwendungen. Dies bedeutet, dass Anwendungen selbst keine sensiblen Anmeldeinformationen speichern oder verarbeiten müssen, was das Sicherheitsrisiko erheblich reduziert. Stattdessen arbeiten sie mit sogenannten Tokens, die vom OAuth-2.0-Provider stammen. Häufig kommen dafür Jason Web Tokens (JWT) zum Einsatz. Diese sind zeitlich begrenzt und ermöglichen es, rollenbasiert auf Ressourcen oder Dienste zuzugreifen, ohne dass die eigentlichen Benutzerzugangsdaten offengelegt werden.

Für Entwickler ist die Arbeit mit OAuth2 und den definierten Protokollen allerdings eine Herausforderung: Die richtige Konfiguration von Clients, die Verwaltung von Tokens und die Umsetzung von Sicherheitsstandards wie PKCE (Proof Key for Code Exchange) erfordern ein tiefes Verständnis des Protokolls. Hier kommen Plattformen wie Auth0 von Okta zum Einsatz, das von Okta in einer öffentlichen oder privaten Cloud für Sie betrieben wird. Als Alternative zu den kostenpflichtigen Anbietern bietet sich Logto [1] an, das Sie kostenfrei selbst betreiben können.