Granska kontoinloggning, behörighet till data och återställning av chattnycklar var för sig; en inloggningsknapp besvarar inte alla tre frågorna.
”Logga in med Google” betyder inte automatiskt att Google får tillgång till chattarnas text, men det är inte heller ett val utan avvägningar kring tillit. Metoden för in en identitetsleverantör i inloggningsprocessen; informationen som överförs och kontoberoendet måste granskas utifrån behörigheterna och tjänstens faktiska utformning.
När du väljer ska du skilja kontoinloggningen från tillstånd att komma åt Google-data och från samtalens krypteringsnycklar. En inloggningsknapp besvarar inte alla tre frågorna.
Vad skiljer OAuth från OpenID Connect?
OAuth är ett ramverk för att bevilja åtkomst till resurser. OpenID Connect tillför ett autentiseringslager ovanpå det. Googles inloggningsdokumentation beskriver det OpenID Connect-baserade flödet för att identifiera användaren.
Påståendet ”OAuth ger Google-lösenordet till meddelandeappen” är alltså felaktigt. Tjänsten måste validera den aktuella token korrekt och skydda sin egen session. Behörighet till Gmail, Drive eller andra data är också en separat fråga från enbart inloggning. Förklaring av behörigheter och scopes.
Vilken information kan utbytas?
Inloggningsflödet ger vanligtvis tjänsten en identifierare och, beroende på behörigheterna, information som e-postadress eller profiluppgifter. Identitetsleverantören deltar också i autentiseringsförfrågningar. Men metodens namn räcker inte för att dra slutsatsen att varje appöppning, varje meddelande eller hela användningshistoriken skickas till leverantören.
| Fråga | Vad du bör kontrollera |
|---|---|
| Vilka kontouppgifter får meddelandeappen? | Samtyckessidan, scopes och integritetspolicyn |
| Begärs behörighet till ytterligare data? | Skillnaden mellan inloggning och åtkomst till e-post, filer eller kontakter |
| När blir identitetsleverantören inblandad igen? | Implementationens policy för sessioner och tokenförnyelse |
| Är chattnycklarna beroende av denna inloggning? | Dokumentation om lagring och återställning av nycklar, inte bara inloggningsknappen |
Ge inte behörighet som inte går att motivera utifrån ditt behov. Tolka samtidigt inte en specifik behörighetsförfrågan som ”läsa alla meddelanden” utan att undersöka den.
Vilken risk innebär beroendet av ett centralt konto?
Om ditt enda sätt att logga in i en meddelandeapp är ett konto som du förlorar åtkomsten till kan en ny inloggning hindras. Effekten på befintliga sessioner, lokala data och återställning beror på tjänstens utformning. Därför är ”ett spärrat Google-konto förstör definitivt alla chattar” ingen korrekt slutsats.
Kontrollera före en nödsituation om tjänsten har en alternativ inloggningsmetod eller återställningsprocess och hur det påverkar kontosäkerheten att lägga till den. Alternativet får inte bli en enklare väg för angriparen. Ändra eller ta inte heller bort kontokopplingen utan att vara säker på hur du ska logga in nästa gång.
Tar direktinloggning med SRP bort alla dessa risker?
Direktinloggning kan minska beroendet av en extern identitetsleverantör. Vid korrekt körning bevisar SRP också kunskap om lösenordet utan att skicka det i protokollmeddelandena. Men meddelandetjänsten behandlar fortfarande kontonamn, inloggningshändelser och tillhörande driftinformation; ”utan digitalt fotavtryck” är ingen korrekt beskrivning.
Den lagrade SRP-verifieraren måste också skyddas. RFC 5054 beskriver risken för lösenordsgissningar efter att verifieraren har röjts. Säkerheten för inloggningssidan, sessionen, återställningen och enheten är fortfarande nödvändig.
Ingen teknisk princip säger att SRP är det enda sättet att logga in med integritet eller att all federerad inloggning i sig är osäker. Implementationens kvalitet och hotmodellen bör vara avgörande.
Gränserna för Livaras påståenden
Livaras säkerhetssida beskriver SRP för autentisering och uppger också uttryckligen att vissa driftdata lagras. Det innebär inte att kontots identitet döljs för själva tjänsten. Samma sida skiljer återställning av den kryptografiska identiteten från chatthistoriken.
För en praktisk jämförelse bör du begära svar på samma frågor från varje tjänst: vilka data tar den emot, vilken tredje part är inblandad, hur avslutar den sessionen och hur återställs chattnycklarna? Ett dokumenterat svar är mer användbart än slagordet ”zero knowledge”.
Innan du väljer inloggningsmetod
Skydda huvudkontot och återställningsvägarna, läs de begärda behörigheterna, gå igenom anslutna enheter och känn till planen om kontot går förlorat. Välj därefter en inloggningsmetod som passar dina behov och din förmåga att hantera den; bekvämlighet och oberoende har båda ett värde, men inget av dem garanterar säkerhet på egen hand.
