Вхід через Google, Apple чи Facebook: як це працює, переваги та ризики

Кнопки «Продовжити з Google», «Увійти через Apple» чи «Увійти через Facebook» є майже на кожному сайті. Вони заощаджують реєстрацію й новий пароль. Чи варто їх боятися, чи це навіть безпечніше за пароль? Коротко: сама кнопка не небезпечна, але тоді все тримається на одному обліковому записі, який ви маєте вміти захистити.

Як це працює

Технічно це стандарт OpenID Connect, що працює поверх OAuth 2.0. Беруть участь три сторони: ви, сайт чи застосунок, до якого ви входите, та постачальник входу (Google, Apple, Facebook).

1. Ви натискаєте кнопку, і сайт перенаправляє вас на сторінку постачальника.
2. Ви входите в акаунт постачальника (часто вже ввійшли). Пароль ви вводите лише там, сайт його ніколи не бачить.
3. Постачальник питає, що може отримати сайт, зазвичай ім'я, електронну адресу й фото. У Google це базовий профіль, у Facebook застосунок може без перевірки запросити публічний профіль та електронну адресу, а Apple дає змогу приховати адресу.
4. Постачальник надсилає сайту підтвердження, хто ви, і сайт впускає вас або створює акаунт.

OAuth створили для того, щоб застосунки не мусили отримувати ваш пароль. Без нього третя сторона знала б пароль, зберігала б його, а відрізати їй доступ можна було б лише зміною пароля. Сьогодні сайт отримує обмежений дозвіл, який ви можете забрати.

Що дає вхід через постачальника

• Не з'являється ще один пароль. Сайт не має вашого пароля, тож не може втратити його під час витоку, а ви не можете його повторити.
• Ви успадковуєте захист постачальника. Двоетапна перевірка, ключі доступу та сповіщення про підозрілі входи працюють, якщо ввімкнути їх у постачальника.
• Ви вирішуєте, що отримає сайт, і можете це скасувати. Google має список пов'язаних застосунків, який можна в будь-який момент переглянути чи видалити з нього застосунок, Apple дозволяє в налаштуваннях припинити використання «Входу через Apple» для застосунку, а Facebook має розділ «Застосунки та сайти».
• Це швидко. Менше помилок у наборі, забутих паролів і форм.

Де ризики

• Один акаунт відчиняє багато дверей. Якщо постачальник заблокує акаунт, ви його втратите або хтось його перехопить, усі пов'язані сервіси опиняться під загрозою чи зникнуть одночасно.
• Постачальник знає про вас більше. Сайт просить постачальника підтвердити вас, тож постачальник знає про кожен такий вхід. Що він із цим робить, визначають його власні правила.
• Згоду дають швидко. Microsoft попереджає, що люди часто натискають «прийняти», не читаючи дозволів. Шахрайський застосунок може просити більше, ніж потребує, або видавати себе за надійний. Сайту з прогнозом погоди не потрібен доступ до вашої пошти.
• Скасування доступу не видаляє того, що сайт уже отримав. Google зазначає, що видалення вже зібраних даних треба просити в розробника, а Facebook для видаленого застосунку пропонує запит на видалення даних.
• Акаунт у сервісі прив'язаний до акаунта постачальника. Якщо ви зміните електронну адресу, перейдете до іншого постачальника або в Apple вимкнете пересилання прихованої адреси, можуть виникнути труднощі з відновленням акаунта чи перестануть приходити повідомлення.

Чи треба боятися?

Не кнопки. Радше слабко захищеного акаунта в постачальника. Вхід через добре захищений акаунт (довгий унікальний пароль або ключ доступу, двоетапна перевірка, актуальні дані для відновлення) у більшості сервісів безпечніший, ніж новий пароль, який ви вводите вручну й повторюєте. Але якщо акаунт у постачальника захищений слабким паролем, один витік обертається катастрофою в усіх сервісах.

Розумно розрізняти. Для менш важливих сервісів (магазин, гра, новинний сайт) вхід через постачальника зручний і досить безпечний. Для пошти, банку, роботи й менеджера паролів краще використовувати власний надійний пароль або ключ доступу, щоб вони не залежали від іще одного акаунта.

Як користуватися безпечно

1. Захистіть акаунт постачальника: довгий унікальний пароль (згенеруйте його) або ключ доступу, двоетапна перевірка, актуальні телефон і електронна пошта для відновлення.
2. Читайте, чого просить сайт. Чи відповідає це його призначенню? І перевірте, що сторінка входу справді належить постачальнику, а не підробці.
3. Діліться мінімумом. Якщо не хочете віддавати електронну адресу, Apple пропонує її приховати.
4. Час від часу переглядайте пов'язані застосунки (у Google, Apple і Facebook є свої списки) та видаляйте ті, що вам не потрібні.
5. Для важливих сервісів майте запасний спосіб входу, наприклад власний пароль чи ключ доступу, щоб утрата акаунта постачальника вас не заблокувала.
6. Коли припиняєте користуватися сервісом, скасуйте його доступ і попросіть видалити ваші дані.

Це не порада з безпеки для вашої конкретної ситуації. Ані вхід через постачальника, ані надійний пароль самі по собі не захищають від фішингу чи шкідливого програмного забезпечення.