U bevindt zich op een nieuwe website. Het inschrijfformulier is lang. U drukt op een knop met de tekst ‘Inloggen met Google’. Het werkt. Je bent binnen.
Dit is single sign-on (SSO).
Het is de standaardervaring voor het moderne internet. De meeste platforms bieden het aan. Facebook, Google, Apple, LinkedIn en zelfs Twitter. Ze laten je allemaal de stap voor het maken van een wachtwoord overslaan. Maar zou je dat moeten doen?
Het antwoord is niet eenvoudig. Het hangt ervan af waar je meer waarde aan hecht: snelheid of controle.
Hoe eenmalige aanmelding eigenlijk werkt
Wanneer u op die knop klikt, logt u niet alleen in. U autoriseert een gegevensoverdracht.
De nieuwe site vraagt uw sociale provider om toestemming om specifieke details te delen. Meestal omvat dit uw naam en e-mailadres. Soms pakt het je profielfoto.
In sommige gevallen worden diepere gegevens opgehaald. Geboortedata. Telefoonnummers. Locatiegeschiedenis.
Wie bepaalt wat er gedeeld wordt? Het komt neer op twee beleidsmaatregelen. Het beleid van de app waaraan u deelneemt. En het beleid van uw belangrijkste sociale account.
“Kleinere apps en websites zijn waarschijnlijk minder veilig dan grote sociale netwerken, dus het afzien van het overhandigen van een wachtwoord en e-mailadres ten gunste van een sociale login zou een veiligere optie kunnen zijn.” — Paul Bischoff, privacyspecialist bij Comparitech
Zoek voordat u klikt naar een tekstvak. Er moet precies worden vermeld welke gegevens openbaar worden gemaakt. Als je het niet ziet, ga dan van het ergste uit.
Waarom u sociale login zou moeten gebruiken
Tijd is het belangrijkste verkoopargument.
Stel je voor dat je tien verschillende formulieren invult. Naam. E-mail. Telefoon. Adres. Verjaardag. Het is vervelend. SSO slaat dit over. Het haalt uw bestaande informatie op en dumpt deze in het nieuwe account.
Het vereenvoudigt ook het geheugen. Je hebt honderden accounts. Hoeveel wachtwoorden onthoud jij eigenlijk? SSO fungeert als een hoofdsleutel. Je logt één keer in bij Google. U hebt toegang tot tientallen gekoppelde services zonder dat u de inloggegevens opnieuw hoeft in te voeren.
Veiligheid is een andere factor. Kleinere websites hebben vaak een zwakke beveiliging. Grote technologiebedrijven hebben enorme beveiligingsteams. Als een kleine app om uw wachtwoord vraagt, vertrouwt u hem een geheim toe. Als ze SSO gebruiken, vertrouw je ze alleen met een API-sleutel. Ze zien nooit uw daadwerkelijke sociale wachtwoord.
Er zijn ook functionele voordelen. Dropbox kan je Facebook-foto’s rechtstreeks naar de cloudopslag halen. Zoom synchroniseert met uw Google Agenda. Slack importeert uw contacten.
U kunt een aantal van deze dingen doen zonder SSO. Maar SSO maakt ze direct.
De verborgen kosten van gemak
Gemak heeft een prijs. Je verliest de controle.
Wanneer u handmatig een account aanmaakt, bepaalt u zelf wat u deelt. Met SSO kan de app nemen wat hij wil. U kunt ermee instemmen uw leeftijd en interesses te delen, alleen maar om toegang te krijgen tot de app.
Die gegevens zijn niet alleen voor de app.
“Door een sociale login te gebruiken, ontstaat er een netwerk van sites die een gedeelde identificatie over u bijhouden. Die identificatie kan worden gebruikt om een gedeeld advertentieprofiel te maken op basis van uw activiteit op elk van de sites.” — Dan Fritcher, CTO van Sysfi Cloud Services
Dit profiel groeit in de loop van de tijd. Het volgt uw bewegingen op internet. Wie weet waar het over vijf jaar voor gebruikt zal worden?
Er is ook sprake van een vertrouwensprobleem. Grote merken hebben een privacybeleid. Willekeurige sites mogelijk niet. Een site zonder reputatie kan uw contactgegevens gebruiken en deze aan oplichters verkopen. Het gebeurt.
SSO vergroot het risico als uw hoofdaccount wordt gehackt.
Als een hacker uw Google-wachtwoord phisht, krijgen ze niet alleen uw e-mail. Ze krijgen elke dienst die aan die login is gekoppeld. Eén inbreuk. Veel verliezen.
Servicestoringen zijn een ander probleem. Als Facebook uitvalt, crasht elke app die Facebook-login gebruikt ermee. U bent buitengesloten van uw eigen accounts vanwege een bedrijfsserverfout.
Hoe grote platforms omgaan met gegevens van derden
Niet alle SSO-providers zijn gelijk.
Google
Google biedt gedetailleerde controles. In uw Google-accountinstellingen kunt u zien welke apps toegang hebben tot uw account. U kunt de toegang direct intrekken. Over het algemeen beperken ze de gedeelde gegevens tot wat de app expliciet vraagt.
Facebook (Meta)
Facebook heeft zijn beleid aangescherpt na schandalen als Cambridge Analytica. Apps moeten een rigoureus beoordelingsproces doorlopen om toegang te krijgen tot gebruikersgegevens. Je kunt precies zien welke rechten een app heeft aangevraagd. Met Meta kunt u verbonden apps bekijken en verwijderen.
Appel
Apple’s “Log in met Apple” is ontworpen voor privacy. Hiermee kunt u uw echte e-mailadres verbergen door een willekeurig e-mailadres te gebruiken dat alleen doorgestuurd kan worden. Het geeft je ook de optie ‘Mijn e-mailadres verbergen’. Apple vereist dat apps bekendmaken waarom ze gegevens nodig hebben en biedt gebruikers eenvoudige manieren om de toegang in te trekken.
Twitter(X)
De integratie van Twitter is minder transparant. Hoewel het SSO biedt, kan de diepte van het delen van gegevens en de trackingmogelijkheden van derden minder duidelijk zijn dan die van Apple of Google. Gebruikers moeten de toestemmingsschermen zorgvuldig bekijken.
Het vonnis
Single sign-on is een hulpmiddel. Het is niet per definitie goed of slecht.
Het is snel. Het is handig. Het kan veiliger zijn dan het gebruik van een zwak wachtwoord op een schetsmatige site.
Maar het creëert een web van gegevensuitwisseling. Het geeft apps meer informatie dan je misschien wilt geven. Het koppelt uw digitale identiteit aan een paar gigantische bedrijven.
Als je om snelheid geeft, gebruik het dan.
Als u privacy belangrijk vindt, wees dan voorzichtig.
Controleer de machtigingen. Lees het privacybeleid. Trek de toegang in als u de app niet langer nodig heeft. Uw gegevens zijn het waard om beschermd te worden.
Wanneer u op ‘Inloggen met Facebook’ klikt, overhandigt u niet alleen een sleutel. U ontgrendelt een deur naar uw volledige digitale voetafdruk. De bedrijven die Single Sign-On (SSO) aanbieden, hebben enorm verschillende filosofieën over welke gegevens “noodzakelijk” zijn om te delen met apps van derden. Sommigen behandelen uw privacy als een kluis. Anderen behandelen het als een openbaar prikbord.
Hier ziet u hoe de grote spelers daadwerkelijk met uw informatie omgaan wanneer u ze als identiteitsprovider gebruikt.
Facebook’s beleid voor het delen van gegevens
De standaardhouding van Facebook is agressief. Tijdens een SSO-initiatie verstrekt het platform de derde partij uw naam, e-mailadres en profielfoto. Maar dat is slechts het topje van de ijsberg.
De echte bekendheid komt van de ‘openbare profiel’-classificatie van Facebook. Deze overkoepelende term omvat alles op uw profiel dat niet expliciet is vergrendeld. Als het zichtbaar is voor vrienden, is het waarschijnlijk ook zichtbaar voor de app. We hebben het over leeftijd, geslacht, geboortedatum en relatiestatus. Het strekt zich uit tot familiegegevens, hobby’s en zelfs de apparaten die u gebruikt.
Erger nog, Facebook kan je woonplaats, werkgeschiedenis, opleidingsachtergrond, religie en politieke voorkeuren van dienst zijn. Het bedrijf verzamelt uitgebreide gegevens en staat erom bekend deze met partners te delen, een feit dat wordt benadrukt door recente schandalen en rechtszaken.
Toch sta je niet geheel machteloos. Dankzij de privacy-instellingen van Facebook kun je bepaalde gegevens als niet-openbaar markeren. Als je zorgvuldig beheert wat openbaar en privé is, kun je de bloeding beperken. Maar de meeste gebruikers niet.
Het beleid van Google
Google hanteert een meer gesegmenteerde aanpak. De technologiegigant deelt op zijn minst uw naam, e-mailadres en profielfoto. Dat zijn de basiskosten van deelname.
Maar Google-apps en integraties van derden proberen vaak meer te pakken. Ze kunnen proberen bestanden, foto’s, berichten of agenda-afspraken op te halen die zijn opgeslagen in uw Google Drive. De vangst? Dit kunnen ze standaard niet doen. Deze diensten moeten specifiek toestemming vragen om toegang te krijgen tot de diepere lagen van je leven. Als u deze verzoeken afwijst, krijgen ze niets. Het is een duidelijkere grens dan het alles-of-niets openbare profielmodel van Facebook.
Twitter-beleid
Het SSO-proces van Twitter is lean van opzet. Apps die via Twitter zijn geregistreerd, krijgen alleen-lezen toegang tot specifieke gegevenspunten: uw schermnaam, profielfoto, biografie, algemene locatie, voorkeurstaal en tijdzone.
De app kan ook uw tweetanalyses bekijken, evenals uw volgers-, mute- en blokkeerlijsten. Met name deelt Twitter uw e-mailadres niet tijdens het aanmelden, tenzij de app hier expliciet om vraagt en u toestemming geeft.
Dit maakt Twitter voor sommigen een verrassend privacyvriendelijke optie. Als uw sociale grafiek toch grotendeels openbaar is, zijn er minder gevoelige ‘privé’-gegevens die een app kan stelen.
Het beleid van Apple
Het SSO-proces van Apple valt op door zijn gebruikersgerichte ontwerp. Het is uniek onder de grote aanbieders. Wanneer het register wordt gestart, deelt Apple uw naam en e-mailadres. Maar gebruikers hebben controle.
U kunt uw naam bewerken voordat deze wordt verzonden. U kunt ervoor kiezen uw e-mailadres volledig te verbergen. Apple genereert dan een dummy-adres dat e-mails automatisch terugstuurt naar uw echte account. Als u de banden wilt verbreken en spam wilt voorkomen, kunt u dit doorsturen later uitschakelen.
Tweefactorauthenticatie is verplicht. Apple beweert ook dat het geen gegevens verzamelt over uw interactie met de app. Hierdoor ontstaat er een buffer tussen uw identiteit en de derde partij.
Apple lijkt een van de beste diensten te zijn als het om SSO gaat, omdat het gebruikers de meeste controle geeft over welke gegevens worden gedeeld.
Wat te doen met SSO
Als u van plan bent eenmalige aanmelding te gebruiken, moet u zich ervan bewust zijn welke informatie wordt overgedragen. Je hebt keuze uit bedrijven. Kies voor de service die de minste hoeveelheid gegevens deelt.
Op basis van het delen van gegevens en gebruikerscontrole is Apple misschien wel de veiligste gok. U hebt geen Apple-apparaat nodig om een Apple ID aan te maken. Dit maakt het toegankelijk voor Android- en Windows-gebruikers die betere privacycontroles willen.
Als alternatief geven sommige experts de voorkeur aan Twitter. Bischoff merkt bijvoorbeeld op dat, omdat bijna alles op zijn Twitter-account openbaar is, een app niet veel meer gegevens kan verzamelen als hij inlogt met Twitter. Het is een ‘niets te verbergen’-strategie. Maar niet elke app biedt elke aanmeldingsoptie. Je bent vaak beperkt tot wat de ontwikkelaar heeft geïntegreerd.
Veilige alternatieven voor SSO
Er is een betere manier om de toegang te beheren zonder uw identiteit op te geven. Gebruik een speciale wachtwoordbeheerder zoals 1Password.
Dit programma slaat al uw inloggegevens op in een gecodeerde map. De enige manier om toegang te krijgen is met een door u ingesteld “hoofdwachtwoord”. Deze hoofdsleutel wordt lokaal en offline opgeslagen. Het is voor hackers vrijwel onmogelijk om deze gegevens te verkrijgen zonder fysieke toegang tot uw computer.
Veel webbrowsers bieden ook ingebouwde wachtwoordbeheerders. Ze gebruiken hun eigen versleutelingsmethoden, die beter zijn dan platte tekst, maar minder robuust dan een speciale tool van derden.
Basisprincipes van beveiliging
Verbeter uw sociale media-beveiliging. Schakel tweefactorauthenticatie (2FA) in. Hierdoor wordt een tijdelijke toegangscode gegenereerd die naar uw persoonlijke e-mailadres of telefoonnummer wordt verzonden.
Het is een van de snelste en meest effectieve methoden om ongewenste online toegang te voorkomen. Het beschermt ook uw accounts voor eenmalige aanmelding. Als iemand uw wachtwoord steelt, kunnen ze zonder die tweede factor nog steeds niet binnenkomen.
De veiligste praktijk blijft het creëren van unieke wachtwoorden voor elke dienst die u gebruikt. Het is vervelend. Het is vervelend. Maar het werkt. Gebruik een gecodeerde wachtwoordbeheerder om ze allemaal bij te houden. Stop met proberen dingen te onthouden. Begin ze te beheren.
