Вы находитесь на новом сайте. Форма регистрации длинная. Вы нажимаете кнопку «Войти через Google». Всё работает. Вы в системе.
Это единый вход (SSO).
Это стандартный опыт для современного веба. Большинство платформ предлагают эту функцию. Facebook, Google, Apple, LinkedIn и даже Twitter позволяют вам пропустить этап создания пароля. Но стоит ли это делать?
Ответ не так прост. Это зависит от того, что для вас важнее: скорость или контроль.
Как на самом деле работает единый вход (SSO)
Когда вы нажимаете эту кнопку, вы не просто входите в систему. Вы разрешаете передачу данных.
Новый сайт запрашивает у вашего социального провайдера разрешение на передачу определенных данных. Обычно это включает ваше имя и адрес электронной почты. Иногда он также получает вашу фотографию профиля.
В некоторых случаях он получает более глубокие данные. Даты рождения. Номера телефонов. История местоположения.
Кто решает, что именно будет передано? Это зависит от двух политик. Политики приложения, к которому вы присоединяетесь, и политики вашего основного социального аккаунта.
«Меньшие приложения и веб-сайты, вероятно, имеют менее надежную защиту, чем крупные социальные сети, поэтому отказ от передачи пароля и адреса электронной почты в пользу входа через социальные сети может быть более безопасным вариантом». — Пол Бишофф, специалист по конфиденциальности в Comparitech
Прежде чем нажать кнопку, поищите текстовое поле. В нем должен быть указан список данных, которые будут раскрыты. Если вы не видите его, предполагайте худший сценарий.
Почему стоит использовать вход через социальные сети
Время — главный продающий фактор.
Представьте, что вы заполняете десять разных форм. Имя. Электронная почта. Телефон. Адрес. День рождения. Это утомительно. SSO пропускает этот этап. Он извлекает вашу существующую информацию и помещает её в новый аккаунт.
Это также упрощает запоминание. У вас есть сотни аккаунтов. Сколько паролей вы действительно помните? SSO действует как главный ключ. Вы входите в Google один раз. Вы можете получить доступ к десяткам связанных сервисов без повторного ввода учетных данных.
Безопасность — еще один фактор. Небольшие сайты часто имеют слабую защиту. Крупные технологические компании имеют огромные команды по безопасности. Если маленькое приложение просит ваш пароль, вы доверяете ему свой секрет. Если они используют SSO, вы доверяете им только API-ключ. Они никогда не видят ваш настоящий пароль от социальной сети.
Есть и функциональные преимущества. Dropbox может напрямую загружать ваши фотографии из Facebook в облачное хранилище. Zoom синхронизируется с вашим календарем Google. Slack импортирует ваши контакты.
Вы можете делать некоторые из этих вещей без SSO. Но SSO делает их мгновенными.
Скрытые затраты удобства
У удобства есть цена. Вы теряете контроль.
Когда вы создаете аккаунт вручную, вы решаете, чем поделиться. При использовании SSO приложение может взять то, что захочет. Вы можете согласиться поделиться своим возрастом и интересами, просто чтобы получить доступ к приложению.
Эти данные предназначены не только для самого приложения.
«Использование входа через социальные сети создает сеть сайтов, которые имеют общий идентификатор о вас. Этот идентификатор может быть использован для создания общего рекламного профиля на основе вашей активности на каждом из этих сайтов». — Дэниел Фритчер, технический директор Sysfi Cloud Services
Этот профиль со временем растет. Он отслеживает ваши перемещения по всему интернету. Кто знает, для чего он будет использоваться через пять лет?
Существует также проблема доверия. У крупных брендов есть политики конфиденциальности. У случайных сайтов их может не быть. Сайт без репутации может взять ваши контактные данные и продать их мошенникам. Такое случается.
SSO усиливает риски, если ваш основной аккаунт скомпрометирован.
Если хакер фишингует ваш пароль Google, он получает не только вашу электронную почту. Он получает все сервисы, связанные с этим входом. Одна утечка. Множественные потери.
Простои в работе сервисов — еще одна головная боль. Если Facebook недоступен, каждое приложение, использующее вход через Facebook, также становится недоступным. Вы заблокированы в своих собственных аккаунтах из-за ошибки на корпоративном сервере.
Как крупные платформы обрабатывают данные третьих лиц
Не все провайдеры SSO одинаковы.
Google
Google предлагает детальный контроль. Вы можете просмотреть, какие приложения имеют доступ к вашему аккаунту, в настройках аккаунта Google. Вы можете мгновенно отозвать доступ. Они, как правило, ограничивают передачу данных тем, что приложение явно запрашивает.
Facebook (Meta)
Facebook ужесточил свои политики после скандалов, таких как Cambridge Analytica. Приложения должны проходить строгую процедуру проверки для получения доступа к данным пользователей. Вы можете видеть, какие разрешения запросило приложение. Meta позволяет вам просматривать и удалять подключенные приложения.
Apple
«Вход через Apple» (Sign in with Apple) разработан с упором на конфиденциальность. Он позволяет скрыть ваш реальный адрес электронной почты, используя рандомизированный почтовый адрес, который работает только на прием. Он также дает возможность «Скрыть мой адрес электронной почты». Apple требует, чтобы приложения раскрывали причины сбора данных и предоставляет пользователям простые способы отозвать доступ.
Twitter (X)
Интеграция Twitter менее прозрачна. Хотя он предоставляет SSO, глубина передачи данных и возможности отслеживания третьими лицами могут быть менее очевидными, чем у Apple или Google. Пользователям следует внимательно проверять экраны разрешений.
Вердикт
Единый вход — это инструмент. Он не является ни однозначно хорошим, ни однозначно плохим.
Он быстрый. Он удобен. Он может быть более безопасным, чем использование слабого пароля на подозрительном сайте.
Но он создает сеть обмена данными. Он дает приложениям больше информации, чем вы, возможно, намеревались предоставить. Он привязывает вашу цифровую идентичность к нескольким гигантским корпорациям.
Если для вас важна скорость, используйте его.
Если для вас важна конфиденциальность, будьте осторожны.
Проверяйте разрешения. Читайте политику конфиденциальности. Отзывайте доступ, когда приложение вам больше не нужно. Ваши данные стоят защиты.
Когда вы нажимаете «Войти через Facebook», вы не просто передаете ключ. Вы открываете дверь к своему цифровому следу. Компании, предлагающие единый вход (SSO), придерживаются совершенно разных философий относительно того, какие данные являются «необходимыми» для передачи сторонним приложениям. Некоторые относятся к вашей конфиденциальности как к хранилищу, другие — как к общественной доске объявлений.
Ниже приведено описание того, как крупные игроки на самом деле обрабатывают вашу информацию при использовании их в качестве провайдера идентичности.
Политика обмена данными Facebook
Позиция Facebook по умолчанию является агрессивной. При инициировании единого входа платформа передает стороннему приложению ваше имя, адрес электронной почты и фотографию профиля. Но это лишь верхушка айсберга.
Настоящая утечка данных происходит из-за классификации «публичный профиль» Facebook. Этот общий термин охватывает все на вашем профиле, что не было явно заблокировано. Если это видно друзьям, то, вероятно, это видно и приложению. Речь идет о возрасте, поле, дате рождения и семейном положении. Это распространяется на данные о семье, хобби и даже на устройства, которые вы используете.
Хуже того, Facebook может предоставить ваш родной город, историю работы, образование, религию и политические взгляды. Компания собирает обширные данные и славится своей готовностью делиться ими с партнерами, что подчеркивается недавними скандалами и судебными исками.
Однако вы не полностью лишены власти. Настройки конфиденциальности Facebook позволяют вам помечать определенные детали как непубличные. Если вы тщательно курируете то, что является публичным, а что частным, вы можете ограничить утечку данных. Но большинство пользователей этого не делают.
Политика Google
Google использует более сегментированный подход. Как минимум, технологический гигант передает ваше имя, адрес электронной почты и фотографию профиля. Это базовая цена входа.
Но приложения Google и сторонние интеграции часто пытаются получить больше. Они могут попытаться получить доступ к файлам, фотографиям, сообщениям или событиям календаря, хранящимся в вашем Google Drive. Но есть нюанс: по умолчанию они не могут этого делать. Эти службы должны явно запрашивать разрешения на доступ к этим более глубоким слоям вашей жизни. Если вы откажете в этих запросах, они ничего не получат. Это более четкая граница, чем модель публичного профиля Facebook, где все или ничего.
Политика Twitter
Процесс единого входа Twitter является легковесным по своей конструкции. Приложения, зарегистрированные через Twitter, получают доступ только для чтения к определенным точкам данных: вашему имени пользователя, фотографии профиля, биографии, общему местоположению, предпочитаемому языку и часовому поясу.
Приложение также может просматривать аналитику ваших твитов, а также списки подписчиков, заблокированных пользователей и пользователей, которых вы скрываете. Примечательно, что Twitter не передает ваш адрес электронной почты при входе, если приложение явно не запросит его и вы не предоставите разрешение.
Это делает Twitter удивительно привлекательным вариантом с точки зрения конфиденциальности для некоторых. Если ваш социальный граф в основном публичный, то для приложения меньше чувствительных «частных» данных, которые можно украсть.
Политика Apple
Процесс единого входа Apple выделяется своим пользовательским дизайном. Она уникальна среди крупных провайдеров. При инициировании регистрации Apple передает ваше имя и адрес электронной почты. Но пользователи имеют контроль.
Вы можете отредактировать свое имя перед его отправкой. Вы можете выбрать полное сокрытие своего адреса электронной почты. Apple затем создаст фиктивный адрес, который автоматически пересылает электронные письма обратно на ваш реальный аккаунт. Вы можете отключить эту пересылку позже, если захотите разорвать связь и предотвратить спам.
Двухфакторная аутентификация является обязательной. Apple также заявляет, что не собирает никаких данных о вашем взаимодействии с приложением. Это создает буфер между вашей идентичностью и третьей стороной.
Apple, похоже, является одной из лучших служб для использования при едином входе, поскольку она дает пользователям наибольший контроль над тем, какие данные передаются.
Что делать с единым входом (SSO)
Если вы планируете использовать единый вход, вы должны быть в курсе того, какая информация передается. У вас есть выбор компаний. Выбирайте службу, которая передает наименьшее количество данных.
Основываясь на обмене данными и контроле пользователя, Apple, вероятно, является самым безопасным вариантом. Вам не нужно устройство Apple для создания учетной записи Apple ID. Это делает его доступным для пользователей Android и Windows, которые хотят получить лучший контроль над конфиденциальностью.
Альтернативно, некоторые эксперты предпочитают Twitter. Например, Бишофф отмечает, что поскольку почти все в его аккаунте Twitter является публичным, у приложения не так много дополнительных данных, которые можно получить от него при входе через Twitter. Это стратегия «нечего скрывать». Но не каждое приложение предлагает каждый вариант входа. Вы часто ограничены тем, что интегрировал разработчик.
Безопасные альтернативы единому входу
Существует лучший способ управления доступом, не отказываясь от своей идентичности. Используйте специализированный менеджер паролей, такой как 1Password.
Эта программа хранит все ваши данные для входа в зашифрованной папке. Единственный способ получить к ней доступ — с помощью «главного пароля», установленного вами. Этот главный ключ хранится локально и офлайн. Практически невозможно для хакеров получить эти данные без физического доступа к вашему компьютеру.
Многие веб-браузеры также предоставляют встроенные менеджеры паролей. Они используют свои собственные методы шифрования, что лучше, чем открытый текст, но менее надежно, чем специализированный сторонний инструмент.
Основы безопасности
Укрепите безопасность своих социальных сетей. Включите двухфакторную аутентификацию (2FA). Это генерирует временный код доступа, отправляемый на вашу личную электронную почту или номер телефона.
Это один из самых быстрых и эффективных методов предотвращения нежелательного онлайн-доступа. Он также защищает ваши аккаунты с единым входом. Если кто-то украдет ваш пароль, он все равно не сможет войти без этого второго фактора.
Самой надежной практикой остается создание уникальных паролей для каждой используемой вами службы. Это утомительно. Это раздражает. Но это работает. Используйте зашифрованный менеджер паролей, чтобы отслеживать их все. Перестаньте пытаться запоминать вещи. Начните управлять ими.
