passordflyt

Passordflyt, ofte referert til som OAuth 2.0 Ressourcen eierens passord-flyt eller Resource Owner Password Credentials grant, er en autentiseringsflyt der klienten får direkte tilgang til brukerens brukernavn og passord og utsteder et tilgangstoken mot disse opplysningene. Flyten brukes normalt når klienten anses som fullt betrodd av brukeren og har behov for å autentisere brukerens identitet uten å gå gjennom en uavhengig påloggingsside.

Prosessen innebærer at brukeren oppgir sine legitimasjoner til klienten, som deretter sender disse opplysningene sammen med klientens legitimasjon til autorisasjonsserveren. Autorisasjonsserveren validerer legitimasjonene og utsteder et tilgangstoken (og ofte et refresh-token) som klienten bruker for å få tilgang til beskyttede ressurser.

Typiske bruksområder inkluderer først-parti applikasjoner der brukeren har en høy grad av tillit til klienten, eller scenarier der det er behov for rask migrering av eksisterende påloggingsflyter. Det fungerer best når klienten kan sikre og beskytte brukerlegitimasjonen sikkert. Likevel har passordflyten betydelige sikkerhetsulemper og begrensninger.

Sikkerhetsvurderinger og kritikk peker på at å håndtere brukernavn og passord i klienten øker risikoen for lekkasje, phishing og begrenset støtte for MFA og multi-enhetsbruk. Derfor anbefales det ikke for nye løsninger. I stedet oppfordres utviklere til å bruke mer sikre alternativer som Authorization Code-flow med PKCE, eller andre OAuth 2.0-flows som ikke krever at klienten håndterer brukerlegitimasjon direkte. For tjeneste-til-tjeneste-kommunikasjon kan Client Credentials-fløwen være passende. Videre anbefales sterke TLS/TLS-bestpraksis, kort levetid på tokens og regelmessig revoking av tilgang.