OAuth - Hoe open is open over een paar jaar?

[MrMonkE]

Ik zit te kijken naar OAuth en zie dat er een ID en een Secret bekend moet zijn.
Het werkt anders dan ik dacht, minder open voor de host, ik dacht namelijk dat iedereen zomaar gebruik kon maken van OAuth in zijn applicaties zonder dat er informatie bij de 3rd party authenticatie partij bekend hoefde te zijn. Ik snap wel waarom, als ik er over nadenk,

Maar als je straks een miljoen gebruikers hebt die via OAuth inloggen dan heb je wel een probleem lijkt me, als je opeens moet gaan betalen. Waarom zouden ze -google, twitter, microsoft, etc- dit anders doen?
Ik ben misschien een beetje cynisch maar dit zijn allemaal evil-corp bedrijven.

Gaan OAuth providers in de toekomst misschien geld in rekening brengen voor het gebruik van hun service?

[Cartman!]

Niemand kan in de toekomst kijken maar ik denk van niet. Die providers verdienen toch veel geld met (verzamelen van) data en ook bij externe diensten inloggen kan nieuwe data betekenen. Ook kan het voor een gebruiker een voordeel zijn tov een andere provider om een account te maken omdat "het goed samenwerkt met andere apps". Het is gewoon een zeer handige extra op diensten die ze al aanbieden en zorgt ook ervoor dat t voor een gebruiker moeilijker kan worden om op te zeggen als je er deels van afhankelijk bent.

In apps moet je vaak ook wel een e-mailadres opgeven (danwel opvragen via je provider). Mocht een dienst ineens wel geld gaan vragen ervoor dan kun je altijd daarmee stoppen en voor iedere gebruiker een wachtwoord genereren die rondmailen.

[Creepy]

Eeeeh... ik gebruik OAuth zonder een derde partij voor zowel het inloggen van gebruikers en o.a. het gebruik van een eigen geschreven API. Dus voor de werking van je eigen applicatie kan je totaal onafhankelijk zijn. Je kan een 3rd party gebruiken zodat gebruikers dezelfde login gegevens kunnen gebruiken, maar dat is zeker geen verplichting van OAuth.

[Douweegbertje]

Volgens mij vergelijk je nu een beetje krom. Zoals Creepy eigenlijk al aangeeft.
Er zijn inderdaad "providers", die dus een request afvangen zodat je bij -hun- kunt inloggen. Echter niemand limiteert je om -zelf- een "provider" te zijn.

Wat een aantal apps doen is het volgende:

- Request -> Provider (Bijvoorbeeld Google) -> Account -> Eigen App.

Nu gebruik je in feite het account van Google om iemand te laten inloggen op jouw App. Redelijk voordelig want je kunt allerlei providers gebruiken om mensen te authen met je eigen app. Uiteindelijk heb je alsnog account bij je zelf maar puur op basis van de auth met een 3e partij.

Echter kun je Oauth overal implementeren en zelf afvangen zoals:

- Request -> Eigen afhandeling -> Authed eigen App.


Op dan je specifieke vraag: Ja natuurlijk kan een provider op een gegeven moment geld eisen om via hun een auth te doen. Punt is dat je dan altijd nog 1000000 andere providers hebt, of het zelf nog kan gaan oplossen. Dat iemand opeens een limiet zet op hun auth maakt dan niet veel uit.

Oh en de reden waarom dit soort bedrijven dit graag doen is puur omdat ze dan weer een vinger ergens in hebben zitten. Ze zullen nooit geld gaan vragen (zeg nooit nooit maar toch) omdat ze dan mensen verliezen. Het is nu veel makkelijker om informatie te hebben en dat mensen hun services gebruiken, dan dat ze hier een 0,001 cent per request voor gaan rekenen. Informatie = geld, heel veel geld.

[ Voor 31% gewijzigd door Douweegbertje op 16-08-2015 15:12 ]

[Jogai]

OAuth is een open protocol wat je zelf kan implementeren, en waarvoor je dan zelf hosting, beveiliging etc. moet regelen (wat waarschijnlijk geld kost).
Een service zoals Auth0 of OAuth.io bied dit ook aan tegen een vergoeding, maar dat is iets anders dan het protocol zelf.