Sei su un nuovo sito web. Il modulo di registrazione è lungo. Premi un pulsante che dice “Accedi con Google”. Funziona. Ci sei.
Questo è il Single Sign-On (SSO).
È l’esperienza predefinita per il Web moderno. La maggior parte delle piattaforme lo offre. Facebook, Google, Apple, LinkedIn e persino Twitter. Tutti ti consentono di saltare il passaggio di creazione della password. Ma dovresti?
La risposta non è semplice. Dipende da cosa apprezzi di più: velocità o controllo.
Come funziona effettivamente il Single Sign-On
Quando fai clic su quel pulsante, non stai semplicemente effettuando l’accesso. Stai autorizzando un trasferimento di dati.
Il nuovo sito chiede al tuo provider social il permesso di condividere dettagli specifici. Di solito, questo include il tuo nome e indirizzo email. A volte, cattura la tua immagine del profilo.
In alcuni casi, estrae dati più profondi. Date di nascita. Numeri di telefono. Cronologia delle posizioni.
Chi decide cosa viene condiviso? Si tratta di due politiche. La politica dell’app a cui ti iscrivi. E la policy del tuo account social principale.
“Le app e i siti Web più piccoli probabilmente hanno meno sicurezza rispetto ai grandi social network, quindi rinunciare a fornire una password e un indirizzo e-mail in favore di un accesso social potrebbe essere un’opzione più sicura.” — Paul Bischoff, specialista in privacy presso Comparitech
Prima di fare clic, cerca una casella di testo. Dovrebbe elencare esattamente quali dati vengono esposti. Se non lo vedi, presumi il peggio.
Perché dovresti utilizzare l’accesso social
Il tempo è il principale punto di forza.
Immagina di compilare dieci moduli diversi. Nome. E-mail. Telefono. Indirizzo. Compleanno. È noioso. SSO lo salta. Estrae le informazioni esistenti e le scarica nel nuovo account.
Semplifica anche la memoria. Hai centinaia di account. Quante password ricordi effettivamente? SSO funge da chiave principale. Accedi a Google una volta. Puoi accedere a decine di servizi collegati senza reinserire le credenziali.
La sicurezza è un altro fattore. I siti Web più piccoli spesso hanno una sicurezza debole. Le grandi aziende tecnologiche hanno enormi team di sicurezza. Se una piccola app richiede la tua password, le stai affidando un segreto. Se utilizzano SSO, ti stai fidando di loro solo con una chiave API. Non vedono mai la tua vera password social.
Ci sono anche vantaggi funzionali. Dropbox può trasferire le tue foto di Facebook direttamente nel cloud storage. Zoom si sincronizza con il tuo Google Calendar. Slack importa i tuoi contatti.
Puoi eseguire alcune di queste operazioni senza SSO. Ma SSO li rende istantanei.
I costi nascosti della comodità
La comodità ha un prezzo. Perdi il controllo.
Quando crei un account manualmente, decidi cosa condividere. Con SSO, l’app può prendere ciò che vuole. Potresti accettare di condividere la tua età e i tuoi interessi solo per accedere all’app.
Questi dati non riguardano solo l’app.
“L’utilizzo di un accesso social crea una rete di siti che contengono un identificatore condiviso su di te. Tale identificatore può essere utilizzato per creare un profilo pubblicitario condiviso in base alla tua attività su ciascuno dei siti.” — Dan Fritcher, CTO di Sysfi Cloud Services
Questo profilo cresce nel tempo. Tiene traccia dei tuoi movimenti sul web. Chissà a cosa servirà tra cinque anni?
C’è anche un problema di fiducia. I grandi marchi hanno politiche sulla privacy. I siti casuali potrebbero non esserlo. Un sito senza reputazione potrebbe prendere le tue informazioni di contatto e venderle ai truffatori. Succede.
L’SSO amplifica il rischio se il tuo account principale viene compromesso.
Se un hacker effettua il phishing della tua password Google, non riceve solo la tua email. Ottengono tutti i servizi collegati a quel login. Una violazione. Molte perdite.
Le interruzioni del servizio sono un altro grattacapo. Se Facebook non funziona, anche tutte le app che utilizzano l’accesso a Facebook si bloccano. Sei bloccato fuori dai tuoi account a causa di un errore del server aziendale.
In che modo le principali piattaforme gestiscono i dati di terze parti
Non tutti i fornitori SSO sono uguali.
Google
Google offre controlli granulari. Puoi verificare quali app hanno accesso al tuo account nelle impostazioni del tuo Account Google. Puoi revocare l’accesso immediatamente. Generalmente limitano i dati condivisi a ciò che l’app richiede esplicitamente.
Facebook (Meta)
Facebook ha inasprito le sue politiche dopo scandali come quello di Cambridge Analytica. Le app devono essere sottoposte a un rigoroso processo di revisione per accedere ai dati degli utenti. Puoi vedere esattamente quali autorizzazioni ha richiesto un’app. Meta ti consente di vedere e rimuovere le app connesse.
Mela
La funzione “Accedi con Apple” di Apple è progettata per la privacy. Ti consente di nascondere il tuo vero indirizzo email utilizzando un’email randomizzata e di solo inoltro. Ti dà anche la possibilità di “Nascondi la mia email”. Apple richiede alle app di rivelare il motivo per cui hanno bisogno dei dati e offre agli utenti modi semplici per revocare l’accesso.
Twitter (X)
L’integrazione di Twitter è meno trasparente. Sebbene fornisca SSO, la profondità della condivisione dei dati e le funzionalità di tracciamento di terze parti possono essere meno chiare rispetto ad Apple o Google. Gli utenti devono esaminare attentamente le schermate di autorizzazione.
Il verdetto
Il Single Sign-On è uno strumento. Non è intrinsecamente buono o cattivo.
È veloce. È conveniente. Può essere più sicuro rispetto all’utilizzo di una password debole su un sito impreciso.
Ma crea una rete di condivisione dei dati. Fornisce alle app più informazioni di quelle che potresti voler fornire. Lega la tua identità digitale ad alcune grandi aziende.
Se ti interessa la velocità, usala.
Se hai a cuore la privacy, fai attenzione.
Controlla i permessi. Leggi l’informativa sulla privacy. Revoca l’accesso quando non hai più bisogno dell’app. Vale la pena proteggere i tuoi dati.
Quando fai clic su “Accedi con Facebook”, non stai semplicemente consegnando una chiave. Stai aprendo una porta alla tua intera impronta digitale. Le aziende che offrono Single Sign-On (SSO) hanno filosofie molto diverse su quali dati sia “necessario” condividere con app di terze parti. Alcuni trattano la tua privacy come una cassaforte. Altri lo trattano come una bacheca pubblica.
Ecco come i grandi player gestiscono effettivamente le tue informazioni quando li usi come fornitore di identità.
Politica di condivisione dei dati di Facebook
La posizione predefinita di Facebook è aggressiva. Durante l’avvio di un SSO, la piattaforma fornisce alla terza parte il tuo nome, indirizzo email e foto del profilo. Ma questa è solo la punta dell’iceberg.
La vera visibilità deriva dalla classificazione del “profilo pubblico” di Facebook. Questo termine generico copre tutto ciò che è presente sul tuo profilo e che non è esplicitamente bloccato. Se è visibile agli amici, probabilmente è visibile anche all’app. Stiamo parlando di età, sesso, data di nascita e stato sentimentale. Si estende ai dettagli della famiglia, agli hobby e persino ai dispositivi che utilizzi.
Quel che è peggio, Facebook può rivelare la tua città natale, la tua storia lavorativa, il tuo livello di istruzione, la tua religione e le tue inclinazioni politiche. L’azienda raccoglie numerosi dati ed è notoriamente disposta a condividerli con i partner, un fatto evidenziato dai recenti scandali e cause legali.
Tuttavia, non sei del tutto impotente. Le impostazioni sulla privacy di Facebook ti consentono di contrassegnare alcuni dettagli come non pubblici. Se curi attentamente ciò che è pubblico rispetto a quello privato, puoi limitare l’emorragia. Ma la maggior parte degli utenti no.
Norme di Google
Google adotta un approccio più segmentato. Come minimo, il gigante della tecnologia condivide il tuo nome, indirizzo email e foto del profilo. Questo è il costo di ingresso di base.
Ma le app Google e le integrazioni di terze parti spesso cercano di ottenere di più. Potrebbero tentare di recuperare file, foto, messaggi o eventi del calendario archiviati nel tuo Google Drive. Il problema? Non possono farlo per impostazione predefinita. Questi servizi devono richiedere specificamente le autorizzazioni per accedere a quegli strati più profondi della tua vita. Se neghi tali richieste, non otterranno nulla. Si tratta di un confine più chiaro rispetto al modello di profilo pubblico “tutto o niente” di Facebook.
Politica di Twitter
Il processo SSO di Twitter è snello in base alla progettazione. Alle app registrate tramite Twitter viene concesso l’accesso in sola lettura a punti dati specifici: nome dello schermo, foto del profilo, biografia, posizione generale, lingua preferita e fuso orario.
L’app può anche visualizzare l’analisi dei tuoi tweet, nonché gli elenchi di follower, disattivazione audio e blocco. In particolare, Twitter non condivide il tuo indirizzo email durante l’accesso a meno che l’app non lo richieda esplicitamente e tu conceda l’autorizzazione.
Ciò rende Twitter un’opzione sorprendentemente rispettosa della privacy per alcuni. Se il tuo grafico sociale è comunque per lo più pubblico, ci sono dati “privati” meno sensibili che un’app può rubare.
Politica di Apple
Il processo SSO di Apple si distingue per il suo design incentrato sull’utente. È unico tra i principali fornitori. Quando viene avviato il registro, Apple condivide il tuo nome e la tua email. Ma gli utenti hanno il controllo.
Puoi modificare il tuo nome prima che venga inviato. Puoi scegliere di nascondere completamente la tua email. Apple genererà quindi un indirizzo fittizio che inoltrerà automaticamente le e-mail al tuo account reale. Puoi disattivare questo inoltro in un secondo momento se desideri eliminare i legami e prevenire lo spam.
L’autenticazione a due fattori è obbligatoria. Apple afferma inoltre di non raccogliere alcun dato sulla tua interazione con l’app. Ciò crea un buffer tra la tua identità e quella di terzi.
Apple sembra essere uno dei migliori servizi da utilizzare quando si tratta di SSO perché offre agli utenti il massimo controllo sui dati condivisi.
Cosa fare in caso di SSO
Se prevedi di utilizzare il Single Sign-On, devi essere consapevole di quali informazioni vengono trasferite. Puoi scegliere tra le aziende. Scegli il servizio che condivide la minor quantità di dati.
Basandosi sulla condivisione dei dati e sul controllo degli utenti, Apple è probabilmente la scommessa più sicura. Non è necessario un dispositivo Apple per creare un ID Apple. Ciò lo rende accessibile agli utenti Android e Windows che desiderano migliori controlli sulla privacy.
In alternativa, alcuni esperti preferiscono Twitter. Bischoff, ad esempio, nota che poiché quasi tutto sul suo account Twitter è pubblico, non ci sono molti più dati che un’app può raccogliere da lui che accede con Twitter. È una strategia del “niente da nascondere”. Ma non tutte le app offrono tutte le opzioni di accesso. Spesso sei limitato a ciò che lo sviluppatore ha integrato.
Alternative sicure all’SSO
Esiste un modo migliore per gestire l’accesso senza rinunciare alla propria identità. Utilizza un gestore di password dedicato come 1Password.
Questo programma memorizza tutti i tuoi dati di accesso in una cartella crittografata. L’unico modo per accedervi è con una “password principale” impostata da te. Questa chiave principale viene archiviata localmente e offline. È praticamente impossibile per gli hacker ottenere questi dati senza accesso fisico al tuo computer.
Molti browser Web forniscono anche gestori di password integrati. Usano i propri metodi di crittografia, che sono migliori del testo semplice ma meno robusti di uno strumento dedicato di terze parti.
Nozioni di base sulla sicurezza
Rafforza la tua sicurezza sui social media. Abilita l’autenticazione a due fattori (2FA). Questo genera un passcode temporaneo inviato al tuo indirizzo email o numero di telefono personale.
È uno dei metodi più rapidi ed efficaci per prevenire accessi online indesiderati. Protegge inoltre i tuoi account Single Sign-On. Se qualcuno ruba la tua password, non potrà comunque entrare senza questo secondo fattore.
La pratica più sicura rimane la creazione di password univoche per ogni servizio che utilizzi. È noioso. È fastidioso. Ma funziona. Utilizza un gestore di password crittografato per tenerne traccia tutti. Smettila di cercare di ricordare le cose. Inizia a gestirli.
