applikasjonsautentisering

Applikasjonsautentisering er prosessen med å bekrefte identiteten til en programvarekomponent eller tjeneste som ønsker tilgang til en annen ressurs eller tjeneste. Hensikten er å sikre at kun autoriserte applikasjoner får tilgang, uavhengig av hvilken bruker som kjører dem. Dette skiller seg fra brukerautentisering, som verifiserer individuelle personers identitet på et system.

Vanlige mekanismer inkluderer API-nøkler, klientsertifikater og mutual TLS (mTLS), samt tilgangstokens basert på OAuth 2.0, for eksempel klientlegitimasjon (client credentials) eller JSON Web Tokens (JWT) som er signert og eventuelt bundet til en publikums-/audience-verdi. I tjeneste-til-tjeneste-kommunikasjon brukes ofte kortlevde tokens og sertifikatbasert autentisering for å redusere risiko ved kompromittering.

Sikkerhet og livssyklus er sentralt. Hemmeligheter som nøkler og sertifikater må lagres sikkert og roteres regelmessig. Prinsippet om minste privilegium bør følges, med riktig omfang (scope) og kort levetid på tokens. Aktiv overvåking, logging og muligheter for revoking av nøkler er viktige sikkerhetstiltak. Tokenbinding og audience-begrensning bidrar til å hindre misbruk av stjålne credentials.

Viktige standarder og praksiser omfatter OAuth 2.0 for autorisasjon, OpenID Connect i tilfeller som også involverer brukerautentisering, og mTLS som et ekstra lag i autentiseringen mellom applikasjoner. Typiske bruksområder inkluderer skytjenester, mikrotjeneste-arkitekturer og integrasjoner mellom systemer der sikker service-to-service-kommunikasjon er avgjørende.