OAuth ve OpenID Connect: Kimlik Doğrulama Protokollerinin Temelleri

Günümüzün dijital dünyasında, kullanıcıların çeşitli uygulamalara ve hizmetlere güvenli bir şekilde erişimi büyük önem taşımaktadır. Bu erişimi sağlamak için iki temel protokol öne çıkar: OAuth ve OpenID Connect. Her ikisi de kimlik ve yetkilendirme süreçlerinde kilit rol oynasa da, farklı amaçlara hizmet ederler. Daha fazla bilgi için protokoller hakkında bilgi edinin.

OAuth Nedir?

OAuth (Open Authorization), bir kullanıcının, parolalarını doğrudan paylaşmadan, bir uygulamaya başka bir hizmetteki (örneğin Google, Facebook) kaynaklarına sınırlı erişim izni vermesini sağlayan bir yetkilendirme çerçevesidir. OAuth, "Yetkilendirme" protokolüdür; yani, bir uygulamanın kullanıcı adına belirli bir eylemi gerçekleştirmesine izin verir, ancak kullanıcının kimliğini doğrulamaz.

• Ana Amaç: Yetkilendirme (authorization).
• Nasıl Çalışır:
  • Kullanıcı, üçüncü taraf uygulamayı yetkilendirir.
  • Uygulama, bir erişim belirteci (access token) alır. Bu belirteç genellikle opak (opaque) bir dizedir ve belirli API çağrıları yapmak için kullanılır.
  • Örnek Kullanım: Bir fotoğraf düzenleme uygulamasının Google Photos hesabınıza erişip fotoğraflarınızı çekmesi için izin istemesi.

OpenID Connect Nedir?

OpenID Connect (OIDC), OAuth 2.0 protokolünün üzerine inşa edilmiş bir kimlik doğrulama katmanıdır. Temel amacı, kullanıcıların kimliğini güvenli bir şekilde doğrulamak ve bu kimlik bilgilerini (ad, e-posta gibi) uygulamalar arasında taşımaktır. OIDC, özellikle Tek Oturum Açma (Single Sign-On - SSO) senaryoları için idealdir.

• Ana Amaç: Kimlik Doğrulama (authentication).
• Nasıl Çalışır:
  • Kullanıcı bir OIDC sağlayıcısı (örneğin Google) aracılığıyla kimliğini doğrular.
  • Uygulama, kimlik doğrulama sonucunda bir ID belirteci (ID token) alır.
  • ID belirteci, kullanıcının kimlik bilgilerini içeren imzalı bir JSON Web Token (JWT) içerir. Örnek bir ID belirteci payload'ı şöyle görünebilir:
    
    Kod:

    {
      "iss": "https://accounts.google.com",
      "sub": "110169484474386763539",
      "aud": "8819981768.apps.googleusercontent.com",
      "email": "kullanici@example.com",
      "email_verified": true,
      "name": "Örnek Kullanıcı",
      "picture": "https://lh3.googleusercontent.com/a/..."
    }

  • Örnek Kullanım: Bir web sitesine "Google ile Oturum Aç" seçeneğiyle giriş yapmak.

Temel Farklar ve Birlikte Kullanım

OAuth yetkilendirme için, OpenID Connect ise kimlik doğrulama için tasarlanmıştır. Ancak, OIDC'nin OAuth 2.0 üzerine inşa edilmiş olması nedeniyle sıklıkla birlikte kullanılırlar:

• OAuth: Ne yapmama izin var? (Yetkilendirme)
• OpenID Connect: Ben kimim? (Kimlik Doğrulama)

Modern uygulamalarda, genellikle hem kullanıcının kimliğini doğrulamak hem de kullanıcının belirli kaynaklara erişimini yetkilendirmek gerektiğinden, OIDC bir kullanıcının kimliğini doğrularken, OAuth 2.0 ise bu kullanıcının belirli verilere veya işlevlere erişimini yetkilendirmek için kullanılır.

Özet

OAuth ve OpenID Connect, web ve mobil uygulamaların güvenlik ve kullanıcı deneyimi açısından vazgeçilmez iki protokolüdür. Doğru anlaşıldığında ve uygulandığında, kullanıcılar için sorunsuz ve güvenli etkileşimler sağlarlar.