Вход в аккаунт, разрешение на доступ к данным и восстановление ключей чата нужно рассматривать отдельно: одна кнопка входа не отвечает на все три вопроса.
«Вход через Google» не означает автоматически, что Google получает доступ к тексту чатов, но и не является вариантом без дополнительных требований к доверию. Этот метод вводит поставщика идентификации в процесс входа; передаваемые сведения и зависимость аккаунта следует оценивать по разрешениям и реальной архитектуре сервиса.
При принятии решения отделяйте вход в аккаунт от разрешения на доступ к данным Google и от ключей шифрования переписки. Одна кнопка входа не отвечает на все три вопроса.
Чем различаются OAuth и OpenID Connect?
OAuth — это механизм предоставления доступа к ресурсам. OpenID Connect добавляет к нему уровень аутентификации. Документация Google по входу описывает процесс на основе OpenID Connect для идентификации пользователя.
Поэтому фраза «OAuth передаёт пароль Google мессенджеру» неверна. Сервис должен правильно проверять соответствующий токен и обеспечивать безопасность собственного сеанса. Разрешение на Gmail, Drive или другие данные — отдельный вопрос, не равнозначный простому входу. Объяснение разрешений и областей доступа.
Какая информация может передаваться?
Процесс входа обычно передаёт сервису идентификатор и, в зависимости от разрешений, сведения вроде адреса электронной почты или данных профиля. Поставщик идентификации также участвует в запросах, связанных с аутентификацией. Но из названия способа входа нельзя заключить, что ему отправляются сведения о каждом открытии приложения, каждое сообщение или вся история использования.
| Вопрос | Что следует проверить |
|---|---|
| Какие данные аккаунта получает мессенджер? | Экран согласия, области доступа и политику конфиденциальности |
| Запрошено ли разрешение на дополнительные данные? | Различие между входом и доступом к почте, файлам или контактам |
| Когда поставщик идентификации участвует повторно? | Политику сеансов и обновления токенов в данной реализации |
| Зависят ли ключи чата от этого входа? | Документацию по хранению и восстановлению ключей, а не только кнопку входа |
Не выдавайте разрешение, которое нельзя обосновать вашими потребностями. При этом не трактуйте конкретный запрос разрешения как «чтение всех сообщений» без проверки.
Чем опасна зависимость от центрального аккаунта?
Если единственный способ войти в мессенджер связан с аккаунтом, который становится недоступен, новые входы могут быть нарушены. Влияние на существующие сеансы, локальные данные и восстановление зависит от устройства сервиса. Поэтому вывод «блокировка Google обязательно уничтожает все чаты» неверен.
До возникновения срочной необходимости проверьте, есть ли у сервиса альтернативный способ входа или процедура восстановления и как её добавление влияет на безопасность аккаунта. Альтернатива не должна становиться более простым путём для злоумышленника. Не меняйте и не удаляйте привязку аккаунта, не убедившись в возможности последующего входа.
Устраняет ли прямой вход через SRP все эти риски?
Прямой вход может уменьшить зависимость от стороннего поставщика идентификации. При правильной реализации SRP также доказывает знание пароля, не передавая сам пароль в сообщениях протокола. Но мессенджер по-прежнему обрабатывает имя аккаунта, событие входа и связанные эксплуатационные сведения; выражение «без цифрового следа» неточно.
Кроме того, сохранённое проверочное значение SRP необходимо защищать. RFC 5054 описывает риск подбора пароля после раскрытия verifier. Безопасность страницы входа, сеанса, восстановления и устройства остаётся необходимой.
Ни один технический принцип не утверждает, что SRP — единственный приватный способ входа или что любой федеративный вход небезопасен по своей природе. Определяющими должны быть качество реализации и модель угроз.
Границы утверждений Livara
Страница безопасности Livara описывает SRP для аутентификации и прямо сообщает о хранении некоторых эксплуатационных данных. Это не означает, что идентичность аккаунта скрыта от самого сервиса. Та же страница отделяет восстановление криптографической идентичности от истории чатов.
Для практического сравнения запрашивайте у каждого сервиса ответы на одни и те же вопросы: какие данные он получает, какая третья сторона участвует, как он завершает сеанс и как восстанавливаются ключи чата? Документированный ответ полезнее лозунга «нулевое знание».
Перед выбором способа входа
Защитите основной аккаунт и способы восстановления, прочитайте запрашиваемые разрешения, проверьте подключённые устройства и изучите план действий при потере доступа к аккаунту. Затем выберите способ входа, соответствующий вашим потребностям и возможностям управления; удобство и независимость ценны, но ни одно из них само по себе не гарантирует безопасность.
