Jesteś na nowej stronie internetowej. Formularz rejestracyjny jest długi. Klikasz przycisk „Zaloguj się przez Google”. Wszystko działa. Jesteś w systemie.
To jest pojedyncze logowanie (SSO).
Jest to standardowe doświadczenie współczesnej sieci. Większość platform oferuje tę funkcję. Facebook, Google, Apple, LinkedIn, a nawet Twitter pozwalają pominąć etap tworzenia hasła. Ale czy warto to robić?
Odpowiedź nie jest taka prosta. To zależy od tego, co jest dla Ciebie ważniejsze: prędkość czy kontrola.
Jak faktycznie działa jednokrotne logowanie (SSO).
Klikając ten przycisk, nie tylko się logujesz. Wyrażasz zgodę na przesyłanie danych.
Nowa witryna prosi dostawcę usług społecznościowych o pozwolenie na udostępnienie określonych danych. Zwykle obejmuje to Twoje imię i nazwisko oraz adres e-mail. Czasami otrzymuje także Twoje zdjęcie profilowe.
W niektórych przypadkach uzyskuje głębsze dane. Daty urodzenia. Numery telefonów. Historia lokalizacji.
Kto decyduje, co dokładnie zostanie przeniesione? Zależy to od dwóch polityk. Zasady aplikacji, do której dołączasz, oraz zasady Twojego głównego konta społecznościowego.
„Mniejsze aplikacje i strony internetowe prawdopodobnie będą miały słabsze zabezpieczenia niż większe sieci społecznościowe, więc niepodawanie hasła i adresu e-mail na rzecz logowania społecznościowego może być bezpieczniejszą opcją”. — Paul Bischoff, specjalista ds. prywatności w firmie Comparitech
Zanim klikniesz przycisk, poszukaj pola tekstowego. Musi zawierać listę danych, które zostaną ujawnione. Jeśli tego nie widzisz, załóż najgorszy scenariusz.
Dlaczego warto używać logowania społecznościowego
Czas jest głównym czynnikiem sprzedaży.
Wyobraź sobie, że wypełniasz dziesięć różnych formularzy. Nazwa. E-mail. Telefon. Adres. Urodziny. To męczące. SSO pomija ten krok. Pobiera Twoje istniejące informacje i umieszcza je na nowym koncie.
Ułatwia to także zapamiętywanie. Masz setki kont. Ile haseł tak naprawdę pamiętasz? SSO działa jak klucz główny. Logujesz się do Google raz. Możesz uzyskać dostęp do dziesiątek powiązanych usług bez konieczności ponownego wprowadzania danych uwierzytelniających.
Bezpieczeństwo to kolejny czynnik. Małe witryny często mają słabe zabezpieczenia. Duże firmy technologiczne mają ogromne zespoły ds. bezpieczeństwa. Jeśli mała aplikacja poprosi o podanie hasła, powierzysz jej swój sekret. Jeśli korzystają z logowania jednokrotnego, powierzasz im tylko klucz API. Nigdy nie widzą Twojego prawdziwego hasła do sieci społecznościowej.
Istnieją również zalety funkcjonalne. Dropbox może bezpośrednio przesyłać Twoje zdjęcia z Facebooka do magazynu w chmurze. Zoom synchronizuje się z Twoim kalendarzem Google. Slack zaimportuje Twoje kontakty.
Niektóre z tych rzeczy możesz wykonać bez logowania jednokrotnego. Ale SSO sprawia, że są one natychmiastowe.
Ukryte koszty wygody
Wygoda ma swoją cenę. Tracisz kontrolę.
Tworząc konto ręcznie, decydujesz, co chcesz udostępnić. Dzięki SSO aplikacja może pobierać, co chce. Możesz zgodzić się na udostępnienie swojego wieku i zainteresowań wyłącznie w celu uzyskania dostępu do aplikacji.
Dane te nie dotyczą tylko samej aplikacji.
“Korzystanie z logowania społecznościowego tworzy sieć witryn, które mają wspólny identyfikator na Twój temat. Identyfikator ten może zostać wykorzystany do utworzenia ogólnego profilu reklamowego na podstawie Twojej aktywności w każdej z tych witryn.” — Daniel Fritscher, dyrektor ds. technologii, usługi w chmurze Sysfi
Profil ten rozwija się z biegiem czasu. Śledzi Twoje ruchy w Internecie. Kto wie, do czego będzie służył za pięć lat?
Jest jeszcze kwestia zaufania. Duże marki mają politykę prywatności. Losowe witryny mogą ich nie mieć. Witryna bez reputacji może pobrać Twoje dane kontaktowe i sprzedać je oszustom. To się zdarza.
Logowanie jednokrotne zwiększa ryzyko w przypadku naruszenia bezpieczeństwa Twojego konta głównego.
Jeśli haker wyłudzi Twoje hasło Google, dostanie coś więcej niż tylko Twój e-mail. Otrzymuje wszystkie usługi powiązane z tym wejściem. Jeden wyciek. Wielokrotne straty.
Przestoje w świadczeniu usług to kolejny ból głowy. Jeśli Facebook jest niedostępny, każda aplikacja korzystająca z logowania przez Facebooka stanie się niedostępna. Masz zablokowany dostęp do własnych kont z powodu błędu na serwerze firmowym.
Jak duże platformy przetwarzają dane osób trzecich
Nie wszyscy dostawcy SSO są sobie równi.
Google
Google oferuje szczegółową kontrolę. W ustawieniach konta Google możesz sprawdzić, które aplikacje mają dostęp do Twojego konta. Możesz natychmiast cofnąć dostęp. Zwykle ograniczają transfer danych do tego, czego aplikacja wyraźnie żąda.
Facebook (Meta)
Facebook zaostrzył swoje zasady po skandalach takich jak Cambridge Analytica. Aby uzyskać dostęp do danych użytkownika, aplikacje muszą przejść rygorystyczny proces weryfikacji. Możesz zobaczyć, o jakie uprawnienia prosiła aplikacja. Meta umożliwia przeglądanie i usuwanie podłączonych aplikacji.
Jabłko
Logowanie za pomocą Apple zostało zaprojektowane z myślą o prywatności. Umożliwia ukrycie prawdziwego adresu e-mail za pomocą losowego adresu e-mail, który działa tylko w momencie odbioru. Daje także opcję „Ukryj mój adres e-mail”. Apple wymaga, aby aplikacje ujawniały, dlaczego zbierają dane, i zapewnia użytkownikom łatwe sposoby cofania dostępu.
Twitter (X)
Integracja z Twitterem jest mniej przejrzysta. Chociaż zapewnia logowanie jednokrotne, głębokość przesyłania danych i możliwości śledzenia stron trzecich mogą być mniej oczywiste niż Apple czy Google. Użytkownicy powinni dokładnie sprawdzić ekrany uprawnień.
Werdykt
Pojedyncze logowanie jest narzędziem. Nie jest on ani jednoznacznie dobry, ani jednoznacznie zły.
Jest szybki. To wygodne. Może to być bezpieczniejsze niż używanie słabego hasła w podejrzanej witrynie.
Ale tworzy sieć wymiany danych. Daje aplikacjom więcej informacji, niż mogłeś chcieć udostępnić. Łączy Twoją cyfrową tożsamość z kilkoma gigantycznymi korporacjami.
Jeśli prędkość jest dla Ciebie ważna, użyj jej.
Jeśli prywatność jest dla Ciebie ważna, zachowaj ostrożność.
Sprawdź uprawnienia. Przeczytaj politykę prywatności. Odwołaj dostęp, gdy aplikacja nie będzie już potrzebna. Twoje dane są warte ochrony.
Klikając „Zaloguj się przez Facebooka”, nie przekazujesz po prostu klucza. Otwierasz drzwi do swojego cyfrowego śladu. Firmy oferujące jednokrotne logowanie (SSO) mają bardzo różne filozofie dotyczące tego, jakie dane są „wymagane” do udostępniania aplikacjom innych firm. Niektórzy traktują Twoją prywatność jak skarbiec, inni jak publiczną tablicę ogłoszeń.
Poniżej znajduje się opis, w jaki sposób duzi gracze faktycznie przetwarzają Twoje dane, gdy korzystasz z nich jako dostawcy tożsamości.
Polityka udostępniania danych na Facebooku
Domyślna pozycja Facebooka jest agresywna. Po zainicjowaniu pojedynczego logowania platforma udostępnia aplikację innej firmy Twoje imię i nazwisko, adres e-mail i zdjęcie profilowe. Ale to tylko wierzchołek góry lodowej.
Prawdziwy wyciek danych wynika z klasyfikacji „profili publicznych” Facebooka. Ten ogólny termin obejmuje wszystko w Twoim profilu, co nie zostało wyraźnie zablokowane. Jeśli jest widoczny dla znajomych, prawdopodobnie będzie widoczny dla aplikacji. Mówimy o wieku, płci, dacie urodzenia i stanie cywilnym. Dotyczy to danych o Twojej rodzinie, hobby, a nawet urządzeniach, z których korzystasz.
Co gorsza, Facebook może udostępnić informacje o Twoim mieście rodzinnym, historii pracy, wykształceniu, religii i poglądach politycznych. Firma gromadzi obszerne dane i słynie z chęci dzielenia się nimi z partnerami, co pokazały niedawne afery i procesy sądowe.
Jednak nie jesteś całkowicie bezsilny. Ustawienia prywatności Facebooka umożliwiają oznaczenie niektórych danych jako niepublicznych. Jeśli dokładnie dokonasz selekcji tego, co publiczne, a co prywatne, możesz ograniczyć wyciek danych. Jednak większość użytkowników tego nie robi.
Zasady Google
Google stosuje bardziej segmentowe podejście. Gigant technologiczny udostępnia przynajmniej Twoje imię i nazwisko, adres e-mail i zdjęcie profilowe. Jest to podstawowa cena wejścia.
Jednak aplikacje Google i integracje innych firm często próbują zrobić więcej. Mogą próbować uzyskać dostęp do plików, zdjęć, wiadomości lub wydarzeń w kalendarzu przechowywanych na Twoim Dysku Google. Jest jednak zastrzeżenie: domyślnie nie mogą tego zrobić. Usługi te muszą wyraźnie prosić o pozwolenie na dostęp do głębszych warstw Twojego życia. Jeśli odrzucisz te prośby, nic nie otrzymają. To wyraźniejsza linia niż model profilu publicznego Facebooka typu „wszystko albo nic”.
Polityka na Twitterze
Proces logowania jednokrotnego na Twitterze jest z założenia lekki. Aplikacje zarejestrowane za pośrednictwem Twittera mają dostęp tylko do odczytu do określonych punktów danych: Twojej nazwy użytkownika, zdjęcia profilowego, biografii, ogólnej lokalizacji, preferowanego języka i strefy czasowej.
Aplikacja może także wyświetlać statystyki Twoich tweetów, a także listy obserwujących, zablokowanych użytkowników i użytkowników, których ukrywasz. Warto zauważyć, że Twitter nie udostępnia Twojego adresu e-mail, gdy się logujesz, chyba że aplikacja wyraźnie o to poprosi i wyrazisz zgodę.
To sprawia, że dla niektórych Twitter jest zaskakująco atrakcyjną opcją prywatności. Jeśli Twój wykres społecznościowy jest w większości publiczny, aplikacja może ukraść mniej wrażliwych „prywatnych” danych.
Zasady Apple
Proces jednokrotnego logowania firmy Apple wyróżnia się niestandardowym projektem. Jest to unikat wśród dużych dostawców. Po zainicjowaniu rejestracji Apple udostępnia Twoje imię i nazwisko oraz adres e-mail. Ale użytkownicy mają kontrolę.
Możesz edytować swoje imię i nazwisko przed jego przesłaniem. Możesz całkowicie ukryć swój adres e-mail. Następnie Apple utworzy fałszywy adres, który automatycznie przekaże e-maile z powrotem na Twoje prawdziwe konto. Możesz wyłączyć to przekazywanie później, jeśli chcesz przerwać połączenie i zapobiec spamowi.
Uwierzytelnianie dwuskładnikowe jest obowiązkowe. Apple twierdzi również, że nie gromadzi żadnych danych o Twoich interakcjach z aplikacją. Tworzy to bufor pomiędzy Twoją tożsamością a stroną trzecią.
Apple wydaje się być jedną z najlepszych usług do jednokrotnego logowania, ponieważ daje użytkownikom największą kontrolę nad przesyłanymi danymi.
Co zrobić z logowaniem jednokrotnym (SSO)
Jeśli planujesz korzystać z pojedynczego logowania, musisz wiedzieć, jakie informacje są udostępniane. Masz wybór firm. Wybierz usługę, która przesyła najmniejszą ilość danych.
Biorąc pod uwagę udostępnianie danych i kontrolę użytkownika, Apple jest prawdopodobnie najbezpieczniejszą opcją. Aby utworzyć konto Apple ID, nie potrzebujesz urządzenia Apple. Dzięki temu jest dostępny dla użytkowników Androida i Windows, którzy chcą mieć lepszą kontrolę nad swoją prywatnością.
Alternatywnie niektórzy eksperci wolą Twittera. Na przykład Bischoff zauważa, że ponieważ prawie wszystko na jego koncie na Twitterze jest publiczne, aplikacja nie ma zbyt wielu dodatkowych danych, które można z niej wyciągnąć, gdy logujesz się za pośrednictwem Twittera. Jest to strategia „nie ma nic do ukrycia”. Ale nie każda aplikacja oferuje każdą opcję logowania. Często jesteś ograniczony do tego, co zintegrował programista.
Bezpieczne alternatywy dla pojedynczego logowania
Istnieje lepszy sposób kontrolowania dostępu bez konieczności rezygnacji ze swojej tożsamości. Użyj dedykowanego menedżera haseł, takiego jak 1Password.
Ten program przechowuje wszystkie dane logowania w zaszyfrowanym folderze. Dostęp do niego można uzyskać jedynie poprzez ustawione „hasło główne”. Ten klucz główny jest przechowywany lokalnie i offline. Uzyskanie tych danych bez fizycznego dostępu do komputera jest prawie niemożliwe dla hakerów.
Wiele przeglądarek internetowych udostępnia także wbudowane menedżery haseł. Używają własnych metod szyfrowania, które są lepsze niż zwykły tekst, ale mniej bezpieczne niż wyspecjalizowane narzędzie strony trzeciej.
Podstawy bezpieczeństwa
Wzmocnij bezpieczeństwo swoich sieci społecznościowych. Włącz uwierzytelnianie dwuskładnikowe (2FA). Spowoduje to wygenerowanie tymczasowego hasła wysłanego na Twój osobisty adres e-mail lub numer telefonu.
Jest to jedna z najszybszych i najskuteczniejszych metod zapobiegania niechcianemu dostępowi do Internetu. Chroni także Twoje konta za pomocą pojedynczego logowania. Jeśli ktoś ukradnie Twoje hasło, nadal nie będzie mógł się zalogować bez tego drugiego czynnika.
Najlepszą praktyką pozostaje tworzenie unikalnych haseł do każdej usługi, z której korzystasz. To męczące. To denerwujące. Ale to działa. Użyj zaszyfrowanego menedżera haseł, aby śledzić je wszystkie. Przestań próbować zapamiętywać różne rzeczy. Zacznij nimi zarządzać.
