Osobno oceniaj logowanie do konta, uprawnienia dostępu do danych i odzyskiwanie kluczy czatu; jeden przycisk logowania nie odpowiada na wszystkie trzy pytania.
„Logowanie przez Google” nie oznacza automatycznie dostępu Google do treści czatu, ale nie jest też wyborem pozbawionym kosztu zaufania. Ta metoda włącza dostawcę tożsamości w proces logowania; przekazywane informacje i zależność konta trzeba ocenić na podstawie uprawnień i rzeczywistej konstrukcji usługi.
Podejmując decyzję, oddziel logowanie do konta od zgody na dostęp do danych Google oraz od kluczy szyfrowania rozmów. Jeden przycisk logowania nie odpowiada na wszystkie trzy pytania.
Czym różnią się OAuth i OpenID Connect?
OAuth to mechanizm udzielania dostępu do zasobów. OpenID Connect zapewnia opartą na nim warstwę uwierzytelniania. Dokumentacja logowania Google opisuje przepływ oparty na OpenID Connect służący identyfikacji użytkownika.
Stwierdzenie „OAuth przekazuje hasło Google komunikatorowi” jest więc nieprawdziwe. Usługa musi poprawnie zweryfikować odpowiedni token i zabezpieczyć własną sesję. Uprawnienia do Gmaila, Dysku lub innych danych również są kwestią odrębną od samego logowania. Wyjaśnienie uprawnień i zakresów.
Jakie informacje mogą być wymieniane?
Proces logowania zwykle przekazuje usłudze identyfikator oraz, zależnie od uprawnień, informacje takie jak adres e-mail lub dane profilu. Dostawca tożsamości uczestniczy też w żądaniach uwierzytelniania. Z nazwy metody logowania nie można jednak wywnioskować, że dostawca otrzymuje informację o każdym otwarciu aplikacji, każdą wiadomość lub całą historię użytkowania.
| Pytanie | Co należy sprawdzić |
|---|---|
| Jakie dane konta otrzymuje komunikator? | Ekran zgody, zakresy uprawnień i politykę prywatności |
| Czy żąda się dostępu do dodatkowych danych? | Różnicę między logowaniem a dostępem do poczty, plików lub kontaktów |
| Kiedy dostawca tożsamości jest ponownie angażowany? | Politykę sesji i odświeżania tokenów w danej implementacji |
| Czy klucze czatu zależą od tego logowania? | Dokumentację przechowywania i odzyskiwania kluczy, nie tylko przycisk logowania |
Nie udzielaj uprawnień, których nie da się uzasadnić Twoimi potrzebami. Jednocześnie nie interpretuj konkretnego żądania uprawnień bez sprawdzenia jako „czytania wszystkich wiadomości”.
Jakie ryzyko niesie zależność od centralnego konta?
Jeżeli jedyną drogą logowania do komunikatora jest konto, do którego tracisz dostęp, nowe logowanie może zostać zakłócone. Wpływ na istniejące sesje, dane lokalne i odzyskiwanie zależy od konstrukcji usługi. Wniosek „zablokowanie Google na pewno niszczy wszystkie czaty” jest więc nieprawidłowy.
Zanim pojawi się nagła potrzeba, sprawdź, czy usługa oferuje alternatywną metodę logowania lub procedurę odzyskiwania oraz jak jej dodanie wpływa na bezpieczeństwo konta. Alternatywa nie powinna stać się łatwiejszą drogą dla napastnika. Nie zmieniaj też ani nie usuwaj powiązania konta bez pewności, jak zalogujesz się następnym razem.
Czy bezpośrednie logowanie przez SRP usuwa wszystkie te zagrożenia?
Bezpośrednie logowanie może zmniejszyć zależność od zewnętrznego dostawcy tożsamości. Poprawnie wykonany SRP dowodzi znajomości hasła bez przesyłania go w wiadomościach protokołu. Usługa komunikatora nadal jednak przetwarza nazwę konta, zdarzenia logowania i powiązane informacje operacyjne; określenie „bez śladu cyfrowego” jest nieprawidłowe.
Ochrony wymaga także przechowywany weryfikator SRP. RFC 5054 opisuje ryzyko odgadywania hasła po ujawnieniu weryfikatora. Bezpieczeństwo strony logowania, sesji, odzyskiwania i urządzenia nadal jest konieczne.
Żadna zasada techniczna nie mówi, że SRP jest jedynym sposobem prywatnego logowania albo że każde logowanie federacyjne jest z natury niebezpieczne. Decydujące powinny być jakość implementacji i model zagrożeń.
Granice twierdzeń Livara
Strona bezpieczeństwa Livara opisuje SRP jako metodę uwierzytelniania i wyraźnie mówi też o przechowywaniu pewnych danych operacyjnych. Nie oznacza to ukrycia tożsamości konta przed samą usługą. Ta sama strona odróżnia odzyskiwanie tożsamości kryptograficznej od historii czatu.
Aby dokonać praktycznego porównania, żądaj od każdej usługi odpowiedzi na te same pytania: jakie dane otrzymuje, jaka strona trzecia jest zaangażowana, jak zamyka sesję i jak odzyskuje się klucze czatu? Udokumentowana odpowiedź jest przydatniejsza niż hasło „zero knowledge”.
Przed wyborem metody logowania
Zabezpiecz główne konto i metody odzyskiwania, przeczytaj żądane uprawnienia, przejrzyj połączone urządzenia i poznaj plan na wypadek utraty konta. Następnie wybierz metodę logowania odpowiadającą Twoim potrzebom i możliwościom zarządzania; wygoda i niezależność mają wartość, ale żadna z nich sama w sobie nie gwarantuje bezpieczeństwa.
