Device code akışı, akıllı televizyon, oyun konsolu veya IoT cihazı gibi tam klavyesi ya da tarayıcısı olmayan aygıtların kullanıcı girişini ikinci bir cihaz üzerinden tamamlamasını sağlayan bir OAuth yöntemidir. Cihaz ekranında bir kod ve kısa bir adres gösterir; kullanıcı bu adrese telefonundan veya bilgisayarından girip kodu onaylayarak oturumu açar.

Device code akışı, sınırlı girdiye sahip bir cihazın kimlik doğrulamasını, kullanıcının ayrı bir cihazda bir kod girerek onaylamasıyla tamamlayan OAuth akışıdır.

Adım Adım Nasıl İşler?

Cihaz önce yetkilendirme sunucusundan bir cihaz kodu ve kullanıcıya gösterilecek bir kullanıcı kodu ister. Ekranda bu kullanıcı kodu ve doğrulama adresi belirir. Kullanıcı başka bir cihazdan adrese gider, kodu girer ve oturum açıp izni onaylar. Bu sırada cihaz, arka planda sunucuyu belirli aralıklarla yoklayarak onayın gelip gelmediğini kontrol eder; onay geldiğinde sunucu erişim belirtecini döner.

• Cihaz yetkilendirme sunucusundan cihaz ve kullanıcı kodunu alır
• Ekranda kullanıcı koduyla birlikte doğrulama adresi gösterilir
• Kullanıcı ikinci bir cihazdan adrese gidip kodu onaylar
• Cihaz sunucuyu yoklar ve onay gelince belirtecini alır

Neden Ayrı Bir Akış Gerekiyor?

Standart OAuth 2.0 yetkilendirme kodu akışı, kullanıcının cihaz üzerinde bir tarayıcıda oturum açmasını varsayar. Uzaktan kumandayla harf harf parola girmenin işkenceye dönüştüğü bir televizyonda bu pratik değildir. Device code akışı, kimlik doğrulama yükünü kullanıcının zaten rahatça kullanabildiği bir cihaza taşır ve genellikle kimliği OpenID Connect katmanıyla birlikte teslim eder.

Güvenlik Riskleri ve Önlemler

Bu akışın en bilinen kötüye kullanımı, saldırganın kendi başlattığı bir cihaz kodunu meşru bir mesaj gibi kurbana ileterek onaylatmasıdır; bu, cihaz koduna dayalı bir Kimlik avı biçimidir. Kurban kodu onayladığında saldırgan erişim belirtecini ele geçirir. Buna karşı doğrulama ekranında hangi uygulamanın ve hangi cihazın erişim istediğinin net gösterilmesi, kodların kısa ömürlü tutulması ve kullanıcının beklenmedik onay taleplerine karşı uyarılması önemlidir.

Device code akışının güvenli işleyişi, onaylanan belirteçlerin ve bunları isteyen cihazların merkezî bir Kimlik ve erişim yönetimi altyapısında izlenmesine bağlıdır. Bu akışın kurumsal senaryolara doğru yerleştirilmesi, bir altyapı ve mimari gözden geçirme kapsamında ele alınması gereken bir konudur.