Bardziej szczegółowe wyjaśnienie OAuth dla osób mniej technicznych

Analogia banku obrazuje działanie OAuth:

• Bank i skarbiec (dostawca poczty) – Google, Microsoft itp. pełnią rolę bezpiecznego banku przechowującego cenne dane, takie jak e-maile, kontakty, kalendarz.
• Hasło pełnego dostępu (nazwa użytkownika/hasło) – to klucz do całej skrytki depozytowej. Hasło jest podawane wyłącznie bankowi podczas weryfikacji, nigdy przypadkowym aplikacjom firm trzecich.
• Thunderbird (kurier) – Thunderbird to wynajęta usługa kurierska używana do odbierania i dostarczania poczty z banku.
• Token OAuth (tymczasowa przepustka) – zamiast przekazywać hasło kurierowi, bank wystawia Thunderbirdowi czasową przepustkę gościa.

Jak przebiega proces

1. Żądanie dostępu – podczas dodawania nowego konta pocztowego Thunderbird zwraca się do banku o przepustkę.
2. Przepustka – bank tymczasowo przekierowuje na swoją bezpieczną stronę internetową (do holu banku), gdzie następuje weryfikacja tożsamości hasłem pełnego dostępu, np. hasłem do konta Google lub Microsoft oraz ewentualnie za pomocą uwierzytelniania dwuetapowego (2FA).
3. Ograniczone uprawnienia – po weryfikacji bank wystawia Thunderbirdowi token dostępu. Token umożliwia wyłącznie odczyt i wysyłanie wiadomości e-mail, czasem dostęp do kontaktów i kalendarza – nie daje dostępu do innych usług, np. Zdjęcia Google lub Microsoft OneDrive, nie można go używać do zmiany hasła ani zablokowania dostępu.
4. Unieważnienie dostępu – jeśli Thunderbird traci zaufanie lub urządzenie zostanie utracone, można w ustawieniach konta Google lub Microsoft „anulować przepustkę”. Thunderbird natychmiast traci dostęp, a konto pozostaje bez szwanku.

To nie jest wystarczająco techniczne. Proszę szczegółowo wyjaśnić protokół OAuth!

OAuth jest standardem internetowym umożliwiającym autoryzowanie jednej aplikacji lub usługi do logowania się w innej bez ujawniania prywatnych informacji, takich jak hasła. Przykładem OAuth jest logowanie przez Google / Apple / Microsoft. Wielu dostawców poczty, takich jak Gmail i Outlook, stosuje OAuth, aby Thunderbird mógł logować się do ich usług pocztowych bez przekazywania pełnych danych logowania Thunderbirdowi.

OAuth jest domyślną metodą uwierzytelniania dla Gmaila, Outlooka, Yahoo Mail i wielu innych dostawców. Dostawca (nie Thunderbird) otwiera systemową przeglądarkę internetową i wyświetla zestaw okien dialogowych opatrzonych marką dostawcy z prośbą o podanie nazwy użytkownika i hasła do konta, akceptację warunków korzystania z usługi oraz autoryzację typów danych, do których Thunderbird ma mieć dostęp, takich jak poczta, kalendarz i kontakty. W oknach dialogowych mogą pojawiać się reklamy. Wszystko wyświetlane w tych oknach, w tym reklamy jest kontrolowane przez dostawcę poczty e-mail, nie przez Thunderbirda.

Sekwencja okien dialogowych OAuth

W ramach procesu uwierzytelniania zostaną wyświetlone okna dialogowe dotyczące niektórych lub wszystkich z poniższych czynności:

1. Podanie nazwy użytkownika, adresu e-mail lub numeru telefonu. Nazwą użytkownika jest adres e-mail.
2. Podanie hasła do konta – nie należy używać hasła aplikacji.
3. Opcjonalnie, akceptacja warunków korzystania z usługi.
4. Opcjonalnie, wybór metody potwierdzenia „Czy to na pewno Ty?” poprzez wysłanie kodu bezpieczeństwa na telefon lub adres e-mail konta, a następnie wpisanie otrzymanego kodu w kolejnym oknie dialogowym.
5. Nadanie uprawnień dla Thunderbirda do dostępu do niektórych lub wszystkich danych: poczty, kontaktów, kalendarza.

Po zakończeniu procesu uwierzytelniania:

• Dostawca wysyła token dostępu, który jest przechowywany przez Thunderbirda na liście haseł i umożliwia przyszły dostęp do serwera. Token to ciąg znaków umożliwiający dostęp z określonego klienta na określonym urządzeniu – nie jest hasłem. Tokeny wygasają w czasie określonym przez dostawcę, co wymaga ponownego uwierzytelnienia za pomocą nazwy użytkownika i hasła. Jeśli hasło nie jest znane, należy utworzyć nowe hasło na stronie dostawcy w przeglądarce, zwykle poprzez reset hasła.
• Thunderbird ustawia konfigurację konta zgodnie z podanymi ustawieniami uwierzytelniania.