Spiegazione più dettagliata di OAuth per le persone meno esperte

L'analogia della banca spiega come funziona:

• La banca e il caveau (il proprio fornitore di posta elettronica): Google, Microsoft, ecc. agiscono come la banca sicura che custodisce i propri beni preziosi (email, contatti, calendario).
• La propria password di accesso completo (il proprio nome utente/password): questa è la chiave dell'intera cassetta di sicurezza. La si mostra direttamente alla banca solo durante la verifica, mai ad applicazioni di terze parti a caso.
• Thunderbird (il corriere): Thunderbird è un servizio di corriere che si utilizza per consegnare e ritirare la posta dalla banca.
• Il token OAuth (il badge temporaneo): invece di consegnare la password al corriere, la banca rilascia a Thunderbird un badge visitatore plastificato e a tempo.

Come funziona il processo

1. Richiesta di accesso: quando si configura un nuovo account email in Thunderbird, questo chiede alla banca un badge.
2. Il badge plastificato: la banca reindirizza temporaneamente l'utente al proprio sito web sicuro (l'atrio della banca), dove si verifica la propria identità con la password di accesso completo (ad esempio, la password dell'account Google o Microsoft) e magari con l'autenticazione a due fattori (2FA).
3. Privilegi limitati: dopo aver verificato l'identità, la banca rilascia a Thunderbird un token di accesso. Questo token concede solo la possibilità di leggere e inviare email (e magari contatti e calendari), ma non può essere utilizzato per altro (ad esempio, Google Foto o One Drive di Microsoft), per cambiare la password dell'account o per bloccare l'accesso.
4. Revoca dell'accesso: se non ci si fida più di Thunderbird, o se il dispositivo viene smarrito, è possibile chiamare la banca (andare alle impostazioni del proprio account Google o Microsoft) e dire loro di "annullare il badge". Thunderbird perde istantaneamente l'accesso, ma l'account (ad esempio l'account Google o Microsoft) rimane intatto.

Spiegazione del protocollo OAuth in modo più approfondito

OAuth è uno standard web che consente di autorizzare un'applicazione o un servizio ad accedere a un altro servizio senza divulgare informazioni private, come le password. Accedi con Google / Apple / Microsoft è un esempio di OAuth che si potrebbe aver già visto. Molti fornitori di posta elettronica come Gmail e Outlook utilizzano il protocollo OAuth per consentire a Thunderbird di accedere ai loro servizi di posta elettronica senza condividere con Thunderbird le credenziali complete del fornitore di posta elettronica.

Il protocollo OAuth è il metodo di autenticazione predefinito per Gmail, Outlook, Yahoo Mail e molti altri fornitori. Il fornitore (non Thunderbird) apre il browser web del sistema e presenta una sequenza di finestre di dialogo con il marchio del fornitore che richiedono il nome utente e la password dell'account, l'accettazione dei termini di servizio e l'autorizzazione per i tipi di dati del fornitore a cui si desidera che Thunderbird possa accedere, come posta, calendari e contatti. Tutte o alcune di queste finestre di dialogo potrebbero contenere annunci pubblicitari. Tutto ciò che viene visualizzato in queste finestre di dialogo (compresi gli annunci pubblicitari) è controllato dal fornitore di posta elettronica, non da Thunderbird.

Sequenza delle finestre di dialogo del processo di autenticazione OAuth

Durante il processo di autenticazione, verranno visualizzate le finestre di dialogo per alcune o tutte le seguenti operazioni:

1. Fornire il proprio nome utente, email o numero di cellulare. Il nome utente sarà il proprio indirizzo email.
2. Fornire la password del proprio account (non utilizzare la password per l'applicazione).
3. Facoltativamente, accettare i Termini di servizio.
4. Facoltativamente, scegliere un metodo per confermare "Sei davvero tu?" inviando un codice di sicurezza al proprio telefono o all'indirizzo email dell'account e quindi inserire il codice inviato in una finestra di dialogo successiva.
5. Concedere a Thunderbird il permesso di accedere ad alcuni o a tutti i seguenti dati: posta, contatti, calendario.

Al termine del processo di autenticazione:

• Viene inviato un token di accesso dal proprio fornitore, che viene poi memorizzato da Thunderbird nel suo elenco di password per consentire l'accesso futuro al server. Un token è una stringa di caratteri che consente l'accesso da un client specifico su un dispositivo specifico: non è una password. I token alla fine scadono in un momento preciso determinato dal fornitore, il che richiede di autenticarsi nuovamente con il proprio nome utente e la propria password. Se non si conosce la propria password, è necessario utilizzare la pagina dell'account del proprio fornitore in un browser web per creare una nuova password, operazione spesso chiamata reimpostazione della password.
• Thunderbird imposta la configurazione dell'account in base alle impostazioni di autenticazione appena fornite.