Ein Bearer Token ist eine Art von Zugriffstoken, das zur Authentifizierung und Autorisierung in Webanwendungen und APIs verwendet wird. Der Begriff "Bearer" bedeutet „Inhaber“, was bedeutet, dass jeder, der dieses Token besitzt, Zugriff auf die geschützten Ressourcen hat – ohne zusätzliche Überprüfung.

Merkmale eines Bearer Tokens:

• Selbsttragend: Enthält alle nötigen Informationen zur Authentifizierung.
• Keine zusätzliche Identitätsprüfung: Wer das Token hat, kann es nutzen.
• Wird in HTTP-Headern übertragen: Normalerweise als Authorization: Bearer <token>.
• Oft zeitlich begrenzt: Hat eine Ablaufzeit, um Missbrauch zu reduzieren.
• Wird häufig mit OAuth 2.0 verwendet: Zum Beispiel bei der Authentifizierung mit Drittanbieterdiensten.

Beispiel einer HTTP-Anfrage mit Bearer Token:

GET /geschuetzte-daten HTTP/1.1
Host: api.example.com
Authorization: Bearer abcdef123456

Risiken:

• Kein Schutz bei Diebstahl: Wenn jemand das Token abfängt, kann er sich ausgeben.
• Muss sicher gespeichert werden: Sollte nicht im Client-Code oder in URLs stehen.

💡 Tipp: Um die Sicherheit zu erhöhen, kann man Token mit kurzen Laufzeiten verwenden und sie nur über HTTPS übertragen.

OAuth (Open Authorization) ist ein offenes Standardprotokoll für Autorisierungen, das es Anwendungen ermöglicht, auf Ressourcen eines Nutzers zuzugreifen, ohne dessen Zugangsdaten (z. B. Passwort) direkt zu kennen. Es wird häufig für Single Sign-On (SSO) und API-Zugriffe verwendet.

Wie funktioniert OAuth?

OAuth arbeitet mit Tokens, die einer Anwendung erlauben, im Namen eines Nutzers auf eine Ressource zuzugreifen. Der typische Ablauf sieht so aus:

1. Anfrage auf Autorisierung: Eine Anwendung (Client) möchte auf geschützte Daten eines Nutzers zugreifen (z. B. Facebook-Kontakte).
2. Nutzer-Authentifizierung: Der Nutzer wird zur Anmeldeseite des Anbieters (z. B. Google, Facebook) weitergeleitet und gibt seine Login-Daten ein.
3. Erteilung einer Erlaubnis: Der Nutzer bestätigt, dass die Anwendung auf bestimmte Daten zugreifen darf.
4. Token-Erhalt: Die Anwendung erhält ein Access Token, mit dem sie auf die freigegebenen Daten zugreifen kann.
5. Zugriff auf Ressourcen: Die Anwendung verwendet das Token, um Anfragen an den API-Server zu stellen, ohne das Nutzerpasswort zu kennen.

OAuth 1.0 vs. OAuth 2.0

• OAuth 1.0: Komplexer mit kryptografischer Signatur, aber sicher.
• OAuth 2.0: Einfacher, nutzt HTTPS zur Absicherung, wird heute meist verwendet.

Beispiel-Anwendungen von OAuth

• "Mit Google/Facebook/Apple anmelden"-Buttons
• Drittanbieter-Apps, die auf APIs von Google Drive, Dropbox oder Twitter zugreifen
• Zahlungsdienste wie PayPal, die sich in andere Apps integrieren