Přihlášení přes Google, Apple nebo Facebook: jak funguje, výhody a rizika

Tlačítka „Pokračovat přes Google“, „Přihlásit se přes Apple“ nebo „Přihlásit přes Facebook“ najdete skoro na každém webu. Ušetří registraci i nové heslo. Má se člověk bát, nebo je to vlastně bezpečnější než heslo? Stručná odpověď: tlačítko samo nebezpečné není, ale všechno pak stojí na jednom účtu, který musíte umět ochránit.

Jak to funguje

Technicky jde o standard OpenID Connect, který staví na OAuth 2.0. Účastní se tři strany: vy, web nebo aplikace, do které se přihlašujete, a poskytovatel přihlášení (Google, Apple, Facebook).

1. Kliknete na tlačítko a web vás přesměruje na stránku poskytovatele.
2. U poskytovatele se přihlásíte (často už přihlášení jste). Heslo zadáváte jen tam, web ho nikdy nevidí.
3. Poskytovatel se zeptá, co smí web dostat, obvykle jméno, e-mail a fotku. U Googlu jde o základní profil, u Facebooku si aplikace bez schvalování může vyžádat veřejný profil a e-mail a Apple umožňuje e-mail skrýt.
4. Poskytovatel pošle webu potvrzení o tom, kdo jste, a web vás přihlásí nebo vám založí účet.

Standard OAuth vznikl právě proto, aby aplikace nemusely dostávat vaše heslo. Bez něj by třetí strana heslo znala, ukládala a přístup šlo odvolat jen změnou hesla. Dnes web dostane jen omezené oprávnění, které můžete odvolat.

V čem je přihlášení přes poskytovatele výhodné

• Nevzniká další heslo. Web žádné heslo nemá, takže ho nemůže ztratit při úniku databáze, a vy ho nemůžete opakovat.
• Zdědíte ochranu poskytovatele. Dvoufázové ověření, přístupové klíče a upozornění na podezřelá přihlášení fungují, pokud je u poskytovatele zapnete.
• Řídíte, co web dostane, a můžete to odvolat. Google nabízí seznam propojených aplikací, které můžete kdykoli zkontrolovat nebo odebrat, Apple umožňuje v nastavení přestat Přihlášení přes Apple u dané aplikace používat a Facebook má v nastavení sekci Aplikace a weby.
• Je to rychlé. Méně překlepů, méně zapomenutých hesel, méně formulářů.

V čem jsou rizika

• Jeden účet otevírá mnoho dveří. Když vám poskytovatel účet zablokuje, ztratíte ho, nebo ho někdo převezme, ohrozíte nebo ztratíte všechny propojené služby najednou.
• Poskytovatel o vás ví víc. Web žádá poskytovatele, aby vás ověřil, takže poskytovatel zná každé takové přihlášení. Jak data využije, určují jeho zásady.
• Souhlasy se dávají rychle. Microsoft upozorňuje, že lidé často klikají na „přijmout“, aniž by si přečetli oprávnění. Podvodná aplikace pak může žádat víc, než k čemu slouží, nebo se tvářit jako důvěryhodná. Stránka s počasím nepotřebuje přístup k vaší poště.
• Odvolání přístupu nesmaže, co už web získal. Google upozorňuje, že o smazání dříve získaných údajů musíte požádat vývojáře, a Facebook nabízí pro odebranou aplikaci žádost o smazání dat.
• Účet ve službě je vázaný na účet poskytovatele. Když změníte e-mail, přejdete jinam nebo u Applu vypnete přeposílání skrytého e-mailu, můžete mít potíže s obnovou nebo vám přestanou chodit zprávy.

Máte se bát?

Ne tlačítka. Spíš slabě chráněného účtu u poskytovatele. Přihlášení přes dobře chráněný účet (dlouhé jedinečné heslo nebo přístupový klíč, dvoufázové ověření, aktuální údaje pro obnovu) je u většiny služeb bezpečnější než nové ruční heslo, které se opakuje. Když je ale účet u poskytovatele chráněný slabým heslem, změní se jeden únik v pohromu napříč službami.

Rozumné je rozlišovat. U méně důležitých služeb (e-shop, hra, zpravodajství) je přihlášení přes poskytovatele pohodlné a dostatečně bezpečné. U e-mailu, bankovnictví, práce a správce hesel raději použijte vlastní silné heslo nebo přístupový klíč, ať nejsou závislé na dalším účtu.

Jak ho používat bezpečně

1. Zabezpečte účet poskytovatele: dlouhé jedinečné heslo (vygenerujte ho) nebo přístupový klíč, dvoufázové ověření, aktuální telefon a obnovovací e-mail.
2. Čtěte, o co web žádá. Odpovídá to jeho účelu? A ověřte, že přihlašovací stránka patří opravdu poskytovateli, ne napodobenině.
3. Sdílejte minimum. Pokud nechcete dát svůj e-mail, Apple nabízí jeho skrytí.
4. Jednou za čas projděte propojené aplikace (Google, Apple i Facebook mají seznam) a odeberte ty, které nepoužíváte.
5. U důležitých služeb mějte záložní způsob přihlášení, třeba vlastní heslo nebo přístupový klíč, ať vás ztráta účtu poskytovatele nezamkne.
6. Když službu přestanete používat, odvolejte přístup a požádejte o smazání údajů.

Nejde o bezpečnostní poradenství pro vaši konkrétní situaci. Přihlášení přes poskytovatele ani silné heslo samy nechrání před phishingem nebo škodlivým softwarem.