Analiză ESET. Cât de sigură este autentificarea SSO, cu contul Google sau Facebook?

De ce să înregistrați și să țineți evidența unui număr mare de conturi când vă puteți conecta la atât de multe aplicații și website-uri folosind acreditările de pe Facebook sau Google? Dar care este compromisul? se întreabă Andre Lameiras pe blogul ESET. 

Exemplu de autentificare SSO (Single Sign-On).

„Continuă cu Google” pare o modalitate comodă și atât de simplă de a vă înregistra și de a vă conecta la un site web sau la o aplicație, mai ales că, probabil, sunteți deja logat în contul Google. Tot ceea ce trebuie să faceți este să faceți click pe buton și să permiteți ca unele dintre datele personale din contul Google să fie partajate cu serviciul online terț.

Deoarece confortul este atât de valoros în zilele noastre, multe site-uri vă permit să vă conectați folosind contul dvs. de Facebook, Google, Microsoft, LinkedIn, Apple sau un alt cont al unei companii importante de tehnologie. De obicei, există o listă de opțiuni din care să alegeți.

Pe de altă parte, atunci când vă conectați datele Google cu un alt serviciu, autorizați Google să vă partajeze informațiile personale în schimbul confortului și al ușurinței de acces. Dar cât de sigur poate fi acest lucru?

Pentru a vă ajuta să găsiți un echilibru între securitate și confort, am adunat avantajele și dezavantajele utilizării unei metode de autentificare în conturile dvs. personale online numită Single Sign-On (SSO), cunoscută în mod obișnuit și sub denumirea de social login.

Care sunt avantajele autentificării SSO?

În primul rând, ce este mai exact SSO? Este un sistem de autentificare care permite unei organizații să obțină consimțământul pentru accesul la informațiile personale, permițându-vă în același timp să vă înregistrați și să vă conectați rapid la serviciile sale, în loc să vă înregistrați printr-un formular de sine stătător.

Nu este de mirare că această practică este atât de răspândită peste tot pe internet:

• Înregistrare rapidă și acces ușor. În loc să completați încă un formular cu numele, prenumele, numărul de telefon sau adresa de e-mail, puteți pur și simplu să faceți click pe opțiunea SSO preferată și să partajați aceste detalii (dar, eventual, și altele) cu noua aplicație sau site web. Este important de menționat că parola dvs. nu este niciodată partajată cu site-ul web. În schimb, identitatea dvs. este verificată prin intermediul unui token de autentificare.
• Atragerea de utilizatori noi. Serviciile online știu prea bine că, cu cât este mai ușor pentru dvs. să vă înregistrați și să vă conectați, cu atât este mai probabil să o faceți și să reveniți.
• Uitați de memorarea a nenumărate parole. Diferite site-uri web au cerințe diferite privind parolele. În plus, ar trebui să folosiți de fiecare dată o combinație unică de nume de utilizator și parolă. Dar, datorită acestei implementări a SSO, stabilirea unei parole puternice doar cu una dintre marile platforme de internet vă poate oferi acces la sute de alte site-uri web, reducând considerabil numărul de parole pe care trebuie să le creați și să le memorați.
• O mai bună prevenire a compromiterii autoprovocate a conturilor (în unele cazuri). Pe măsură ce listele de parole devin prea extinse pentru a fi ținute minte, mulți oameni pot ține evidența acestora pe hârtie sau într-o foaie de calcul Excel. Dar dacă se întâmplă ca cineva să aibă acces la această listă de parole? Faptul că trebuie să vă amintiți doar parola pentru contul Google și să securizați contul în mod corespunzător poate reduce necesitatea de a crea și apoi de a depinde de o listă de parole prost protejată (de exemplu, dacă nu vă plac aplicațiile de management de parole).

Deci, ar trebui să folosiți mereu metoda de autentificare SSO?

Răspunsul este nu, existând și unele dezavantaje ale acestei metode de autentificare. Mai exact, deși SSO oferă beneficii importante pentru utilizatori, această metodă vă expune unor riscuri care s-ar putea să nu se dezvăluie decât atunci când este prea târziu. Care sunt unele dintre implicații?

• Aveți toate datele de conectare într-un singur loc. Dacă datele dvs. de conectare în conturile de Facebook sau Google sunt compromise, infractorii cibernetici nu numai că au acces la contul compromis, ci și la toate celelalte site-uri web conectate.
• Păstrați-vă securizat contul principal. O parolă puternică, poate sub forma unei fraze de acces care combină litere majuscule, minuscule și cifre, poate fi esențială pentru a vă proteja conturile și detaliile personale. Dacă, din anumite motive, nu folosiți un manager de parole, poate vă gândiți să alegeți o frază de acces într-un format care să vă permită să inserați numele site-ului web - dar fără ca întrega frază să fie previzibilă.
• Preocupări legate de confidențialitate. Atunci când conectați conturile, permiteți ca informațiile dvs. personale să fie transmise site-ului web și, din cauza ușurinței cu care se poate configura această conexiune, s-ar putea să vă oferiți acordul pentru transferul mai multor informații decât vă dați seama. Deși Facebook, Google, Microsoft sau Apple vă permit să verificați toate conexiunile cu terți, revocarea accesului nu înseamnă că revocați și consimțământul oferit unui site web de a vă utiliza datele. De asemenea, dacă după ce „ați șters conexiunile”, accesați din nou același site web și folosiți modalitatea de autentificare SSO, veți rămâne logat la fel ca înainte, ca și cum nu ați fi revocat accesul deloc.

• Atragerea de utilizatori (și implicațiile pentru amprenta dvs. digitală). Este adevărat, am enumerat atragerea eficientă de utilizatori ca fiind unul dintre avantajele SSO pentru aplicații și site-uri web, dar acest aspect poate fi considerat o sabie cu două tăișuri. Dacă vă înregistrați un cont pentru aplicații sau site-uri web de care nu ați avut niciodată nevoie atât de mult, cât timp va dura până veți uita de ele? Pentru a contracara acest lucru, asigurați-vă că țineți evidența tuturor site-urilor web la care v-ați înregistrat și ce informații personale despre dvs. păstrează - de exemplu, informațiile despre cardul dvs. de credit ar putea fi stocate pe un site web pe care l-ați folosit o dată și de care ați uitat. Deși acest lucru se poate întâmpla indiferent de modul de conectare, natura „express” a metodei de autentificare SSO vă poate face mai predispus să uitați de toate acele aplicații sau site-uri web la care v-ați conectat cândva cu contul Google sau Facebook.

Așadar, să folosiți SSO sau să nu folosiți SSO?

Atunci când este combinată cu alte măsuri de siguranță și confidențialitate, autentificarea SSO poate oferi o mare economie de timp. Însă, în cazul site-urilor web care păstrează informații personale, cum ar fi numele complet, adresa, detaliile bancare sau datele cardului de credit, este mai sigur să optați pentru un cont de sine stătător, securizat printr-o frază de acces complexă și unică, împreună cu autentificarea cu doi factori (2FA).

Pe scurt, luați în considerare utilizarea SSO numai dacă:

• activați (și nu putem sublinia suficient importanța acestui pas) autentificarea cu doi factori (2FA) în contul dvs. principal, deoarece astfel va fi mai greu pentru oricine să vă impersoneze identitatea în mediul online,
• aveți încredere în platforma pe care o folosiți pentru a accesa celălalt site web (încrederea este totuși un lucru nestatornic și este necesar să vă luați și alte măsuri de precauție),
• folosiți servicii de plată precum PayPal sau un card virtual ca opțiuni de plată pentru orice site web pe care l-ați accesat folosind SSO, evitând astfel scurgerea datelor bancare,
• utilizați setările din contul dvs. principal pentru a ține evidența tuturor site-urilor web conectate.