api - OAuth 2.0 两足认证与 SSL/TLS

Question

我有两台需要以安全方式通信的企业服务器，我正在比较使用 SSL(使用客户端/服务器证书来验证双方)与使用 OAuth 2.0(可选 MAC token 或 JWT token )的双向身份验证.

从历史上看，OAuth 似乎是为完全不同的目的而创建的(三足情况，用户允许服务访问某处的某些数据)，尽管两足现在已集成到 OAuth 2.0 规范中，来 self 所看到的两条腿的 OAuth 2.0 似乎没有提供比 SSL 更多的额外保护。

我能想到的唯一一点是 OAuth 可能比 SSL 更容易配置，而且很容易犯错误，例如接受可能危及安全性的错误 SSL 证书。但是我不确定这是否足以支持 OAuth。

请注意，我将这些作为单独的选项提及，但我认为使用 OAuth 可能需要在 HTTPS/SSL 之上使用它，因此两者都会被使用。

使用 OAuth 2.0 两条腿方案进行服务器到服务器通信(不涉及用户)是否有真正的优势？

注意:我确实找到了一个有点相似的帖子 here , 但那已经很老了，但我觉得在这件事上没有给出令人满意的答案。

Answer 1

如果您已经知道这一点但在您的帖子中不清楚，我们深表歉意。

OAuth 和 SSL\TLS 是 OSI 模型的两个独立层。 OAuth 用于身份验证，位于第 7 层的顶部，而 SSL\TLS 用于第 4 层的传输安全。很容易将 SSL 与客户端证书混淆，因为它们都使用 PKI。

您对 OAuth 的理解是正确的...它用于授权个人而不是组织\服务器。两条腿的 OAuth 是一个被抛出的术语，它包含各种替代的 OAuth 流程，所有这些流程都不遵循标准。

在我看来，您想使用客户端证书来保护您的服务器-服务器通信......真正需要的只是一个 x509 证书，它可以同时用作 SSL(传输安全)和客户端证书(授权) ;虽然使用 2 个证书是常态。