Hesaba girişi, verilere erişim iznini ve sohbet anahtarlarının kurtarılmasını ayrı inceleyin; tek bir giriş düğmesi üçünü birden yanıtlamaz.
“Google ile giriş” ne otomatik olarak Google’ın sohbet metnine eriştiği anlamına gelir ne de güven açısından bedelsiz bir seçenektir. Bu yöntem giriş sürecine bir kimlik sağlayıcısı ekler; aktarılan bilgiler ve hesap bağımlılığı, izinler ve hizmetin gerçek tasarımı üzerinden incelenmelidir.
Karar verirken hesaba girişi, Google verilerine erişim izninden ve sohbet şifreleme anahtarlarından ayırın. Tek bir giriş düğmesi üç sorunun da yanıtı değildir.
OAuth ile OpenID Connect arasındaki fark nedir?
OAuth, kaynaklara erişim yetkisi verme çerçevesidir. OpenID Connect bunun üzerine bir kimlik doğrulama katmanı ekler. Google giriş belgeleri, kullanıcıyı tanımlamak için OpenID Connect tabanlı akışı açıklar.
Dolayısıyla “OAuth, Google parolasını mesajlaşma uygulamasına verir” ifadesi doğru değildir. Hizmet ilgili belirteci doğru doğrulamalı ve kendi oturumunu güvenli kurmalıdır. Gmail, Drive veya diğer verilere yönelik izinler de yalnızca giriş yapmaktan ayrı bir konudur. İzinler ve kapsamların açıklaması.
Hangi bilgiler paylaşılabilir?
Giriş akışı genellikle hizmete bir tanımlayıcı ve izinlere bağlı olarak e-posta veya profil bilgileri gibi veriler iletir. Kimlik sağlayıcısı da kimlik doğrulamayla ilgili isteklere katılır. Ancak giriş yönteminin adından, uygulama her açıldığında bunun, her mesajın veya tüm kullanım geçmişinin sağlayıcıya gönderildiği sonucu çıkarılamaz.
| Soru | İncelemeniz gereken |
|---|---|
| Mesajlaşma uygulaması hangi hesap bilgilerini alır? | Onay ekranı, kapsamlar ve gizlilik politikası |
| Ek verilere erişim izni istenmiş mi? | Giriş yapmak ile e-posta, dosya veya kişilere erişim arasındaki fark |
| Kimlik sağlayıcısı ne zaman yeniden devreye girer? | Uygulamanın oturum ve belirteç yenileme politikası |
| Sohbet anahtarları bu girişe bağlı mı? | Yalnızca giriş düğmesi değil, anahtar saklama ve kurtarma belgeleri |
İhtiyacınız açısından açıklanamayan izinleri vermekten kaçının. Bununla birlikte belirli bir izin talebini incelemeden “tüm mesajları okumak” olarak yorumlamayın.
Merkezi hesaba bağımlılığın riski nedir?
Bir mesajlaşma uygulamasına tek giriş yolunuz erişilemez hâle gelen bir hesapsa, yeni girişler aksayabilir. Bunun mevcut oturumlara, yerel verilere ve kurtarmaya etkisi hizmetin tasarımına bağlıdır. Dolayısıyla “Google’ın engellenmesi mutlaka tüm sohbetleri yok eder” doğru bir sonuç değildir.
Acil durumdan önce hizmetin alternatif giriş yöntemi veya kurtarma süreci olup olmadığını ve bunu eklemenin hesap güvenliğine etkisini inceleyin. Alternatif yol, saldırgan için daha kolay bir yola dönüşmemelidir. Sonraki giriş yolundan emin olmadan hesap bağlantısını değiştirmeyin veya kaldırmayın.
SRP ile doğrudan giriş tüm bu riskleri ortadan kaldırır mı?
Doğrudan giriş, üçüncü taraf kimlik sağlayıcısına bağımlılığı azaltabilir. SRP de doğru uygulandığında, parolanın bilindiğini parolanın kendisini protokol mesajlarında göndermeden kanıtlar. Ancak mesajlaşma hizmeti hâlâ hesap adını, giriş olayını ve ilgili operasyonel bilgileri işler; “dijital iz bırakmaz” doğru bir tanım değildir.
Ayrıca saklanan SRP doğrulayıcısı korunmalıdır. RFC 5054, verifier açığa çıktıktan sonra parola tahmini riskini açıklar. Giriş sayfasının, oturumun, kurtarmanın ve cihazın güvenliği hâlâ gereklidir.
Hiçbir teknik ilke, SRP’nin gizliliğe uygun tek giriş yolu olduğunu veya her birleşik girişin doğası gereği güvensiz olduğunu söylemez. Uygulama kalitesi ve tehdit modeli belirleyici olmalıdır.
Livara iddialarının sınırı
Livara güvenlik sayfası, SRP’yi kimlik doğrulama için açıklar ve bazı operasyonel verilerin saklandığını da açıkça belirtir. Bu, hesap kimliğinin hizmetin kendisinden gizlendiği anlamına gelmez. Aynı sayfa kriptografik kimliğin kurtarılmasını sohbet geçmişinden ayırır.
Uygulamalı bir karşılaştırma için her hizmetten aynı soruların yanıtını isteyin: Hangi verileri alıyor, hangi üçüncü taraf devrede, oturumu nasıl kapatıyor ve sohbet anahtarları nasıl kurtarılıyor? Belgelenmiş yanıt, “sıfır bilgi” sloganından daha faydalıdır.
Giriş yöntemini seçmeden önce
Ana hesabı ve kurtarma yollarını güvenceye alın, istenen izinleri okuyun, bağlı cihazları gözden geçirin ve hesaba erişimi kaybetme planınızı bilin. Ardından ihtiyaçlarınıza ve yönetme kapasitenize uygun giriş yöntemini seçin; kolaylık ve bağımsızlık değerlidir, ancak hiçbiri tek başına güvenlik garantisi değildir.
