¿Debe pensar dos veces antes de iniciar sesión con cuentas sociales?

Parece que cada vez que se suscribe a un nuevo servicio, puede elegir elegir un nombre de usuario y contraseña o simplemente iniciar sesión con Facebook o Twitter. A menudo, iniciar sesión con su cuenta de Google también es una opción. Es rápido y fácil. Pero deberías hacerlo?

Como funciona?

El inicio de sesión con su cuenta social utiliza un protocolo llamado OAuth, que (en pocas palabras) permite que una aplicación o servicio (el solicitante o el servicio al que se está registrando) se conecte a otro (el proveedor de servicios o la red existente a la que ' está utilizando para registrarse) y actuar en su nombre. Esto se hace emitiendo “fichas” a la aplicación solicitante. Estos tokens funcionan un poco como su nombre de usuario y contraseña, ya que le dan a la aplicación solicitante acceso a un servicio protegido por contraseña (por ejemplo, Facebook).

Lo importante aquí es que su real el nombre de usuario y la contraseña nunca se comunican entre las aplicaciones, y que la aplicación solicitante solo obtiene acceso a una parte limitada de su cuenta protegida por contraseña.

Veamos un ejemplo rápido. Digamos que estás usando Blurb para convertir tus fotos de Facebook en un libro. Tres maneras fáciles de convertir tu Facebook en un libro real [Sugerencia semanal de Facebook] Tres maneras fáciles de convertir tu Facebook en un libro real [Sugerencia semanal de Facebook] ¿Alguna vez has querido hacer un verdadero libro impreso de las cosas que tienes en Facebook? Quizás tengas familiares que no están en Facebook pero que les encantaría ver las fotos que has puesto ... Vas a Blurb (el solicitante) y le dices que quieres imprimir fotos desde Facebook. Blurb lo dirige de regreso a Facebook (el proveedor de servicios), donde ingresa sus credenciales de inicio de sesión (enviadas directamente a Facebook, no a Blurb) y le dice a Facebook que le da permiso a Blurb para acceder a sus fotos. Ahora Blurb puede descargar esas fotos para que puedan imprimirse. Si Blurb intenta acceder a su línea de tiempo, será denegado, porque el token que tiene solo le da acceso a sus fotos y perfil público..

OAuth nunca comparte su nombre de usuario o contraseña con la aplicación solicitante, la idea es que mantener su nombre de usuario y contraseña en secreto los mantiene seguros. Y para evitar que una aplicación o servicio solicitante acceda a su cuenta, todo lo que tiene que hacer es hacer clic “revocar el acceso,” en lugar de cambiar tu contraseña.

Es seguro?

Bien, entonces el proceso parece bastante sencillo hasta ahora. ¿Pero qué tan seguro es? ¿Deberíamos estar preocupados por la seguridad de los sitios de OAuth??

Desde el punto de vista de la seguridad, OAuth se ve bastante bien. El peor de los casos aún no da como resultado la revelación de sus contraseñas sociales. Y la capacidad de revocar instantáneamente el acceso a cualquier aplicación que tenga un token significa que incluso si un sitio web es pirateado y algunos personajes nefastos tienen en sus manos todos los datos del token, puede presionar el botón de revocar acceso y no tendrán acceso a su sitio social.

El hecho de que solo comparta el acceso a un subconjunto específico de datos en su sitio social también es bastante atractivo: si alguien piratea Snapfish y obtiene acceso a sus fotos de Facebook, no debe preocuparse demasiado (usted son cuidando las fotos que publicas, ¿verdad?).

A pesar del reciente descubrimiento dramatizado de una falla de seguridad en OAuth, el sistema es bastante bueno.

Sin embargo, hay más en la seguridad en línea que solo el cifrado y los tokens. Una de las mejores maneras de asegurarse de estar seguro en línea es usar buenas prácticas de contraseña. Y OAuth ayuda mucho con eso. ¿Cómo? Al poder iniciar sesión con Twitter o Google, aún no tiene que crear otro contraseña que debes recordar. Si tiene una contraseña de Facebook muy segura, puede usarla para acceder a varias cosas sin usar la misma contraseña para más sitios.

Esta es una clara ventaja de OAuth, y el hecho de que limite el número de sitios web que tienen sus contraseñas es una gran ventaja.

También es importante mencionar que los sitios que acceden a sus perfiles sociales no pueden realizar ninguna acción importante: no pueden eliminar su cuenta, cambiar su contraseña ni realizar ningún otro cambio importante. Lo cual es tranquilizador.

¿Qué riesgos estás tomando??

Desafortunadamente, nada es simple cuando se trata de seguridad en línea. Existen algunos riesgos de usar OAuth, principalmente relacionados con la privacidad.

Por ejemplo, ¿con qué frecuencia se toma el tiempo de mirar realmente los permisos que está otorgando cuando usa Facebook Connect? Si bien las aplicaciones solo deben solicitar acceso a la información que necesitan para servirle mejor, a menudo solicitan mucho más: su línea de tiempo, la información de sus amigos y la capacidad de publicar, por ejemplo.

A veces esto es algo bueno: es posible que desee integrar Twitter en su aplicación de contactos o en un lector de noticias. O puede que desee publicar los resultados de su entrenamiento de RunKeeper Mantenga un registro de sus objetivos de entrenamiento mientras entrena con RunKeeper [Android] Mantenga un registro de sus objetivos de entrenamiento mientras entrena con RunKeeper [Android] En MakeUseOf, nos encanta encontrar aplicaciones y otros motivadores en línea para mantenerse en forma y saludable. Después de investigar estas aplicaciones de fitness una y otra vez, RunKeeper siempre demuestra ser uno de los mejores. Es ... o MapMyFitness. Pero no hay nada en los permisos que impida que la aplicación o el servicio publiquen lo que quieran. No hay “solo resultados de la encuesta” opción. Solo tiene que confiar en que la aplicación solo publicará lo que desee o le diga, y no anuncios.

Y es posible que esté dando más información de la que esperaba. ¿A quién le importa si tu tienda favorita ve lo que estás publicando en Facebook, verdad? Bueno, podrían estar obteniendo más información de la que imaginabas.

Por ejemplo, en una conferencia de 2012, una compañía de catálogos japonesa habló sobre cómo usó la información en el perfil de Facebook de un usuario para inferir cosas “acerca de un cliente “etapa de la vida” (ya sean casados ​​o solteros, embarazadas, a dieta, planeando una fiesta, etc.) “casa” (si tienen un hijo, un padre anciano, una mascota, un condominio, etc.) y “personalidad” (¿Les gusta el voluntariado, la adivinación, la comida, los viajes, los deportes, correr, etc.?).”

Un miembro del equipo de marketing declaró que el equipo “puede conocer los antecedentes de la vida de nuestros clientes: su estilo de vida y psicología. Entonces podemos dirigir nuestros catálogos en consecuencia. Y podemos predecir cuándo alguien necesita un producto en función de lo que dice en las redes sociales.”

No pensé que estabas dando tanta información, ¿verdad??

Por supuesto, usted tiene control total sobre lo que está compartiendo con una empresa que usa inicios de sesión sociales y cuánto pueden publicar para usted, pero solo si se toma el tiempo de leer los permisos que están solicitando. Y no dar acceso a cosas que preferiría mantener en privado. Pero eso no siempre es fácil, porque algunas aplicaciones y servicios ahora emplean el inicio de sesión solo en Facebook o Twitter, lo que significa que si no acepta sus permisos, no podrá usar el servicio.

Lecciones para llevar: ¿Qué debe hacer??

Como con la mayoría de las cosas, hay dos lados en la historia de iniciar sesión usando cuentas sociales. Por lo general, es bastante seguro, y en realidad tienes bastante control sobre la cantidad de información que compartes.

Por otro lado, podrías estar cediendo mucho control si no tienes cuidado. Entonces, ¿qué debes hacer al respecto??

• Lea las solicitudes de permiso antes de otorgarlas.

Esta es importante y solo se volverá más importante a medida que los servicios web se vuelvan más integrados. Si no desea que una aplicación recopile datos sobre sus amigos de Facebook, no permita que acceda a Facebook.

• Revise los permisos de su aplicación con frecuencia.

En Facebook, vaya a la pestaña Aplicaciones en la pantalla Configuración. En Twitter, vaya también a la pestaña Aplicaciones en Configuración. Google es un poco más complicado: vaya a accounts.google.com, luego haga clic en Seguridad, luego Ver todo en Permisos de cuenta. Mire qué aplicaciones tienen acceso a sus datos y revoque el acceso a las que ya no usa. Y si ve una aplicación que tiene más permisos de los que debería, considere revocar el acceso y ver si puede iniciar sesión en ese servicio con un nombre de usuario y contraseña tradicionales.

Para acelerar el proceso, puede usar MyPermissions Too Many Apps? ¿Cómo revocar los permisos de aplicaciones de múltiples sitios web en 2 minutos? ¿Demasiadas aplicaciones? Cómo revocar permisos de aplicaciones de múltiples sitios web en 2 minutos El mundo en línea ofrece muchas preocupaciones de privacidad. Todos sabemos que no debemos publicar cosas privadas en Facebook, no debemos escribir nuestra dirección de correo electrónico en lugares visibles, y realmente debemos prestar atención, como ..., lo que le ayuda a administrar sus permisos en Facebook, Twitter, Google, Yahoo, LinkedIn, Foursquare, Instagram, Dropbox y más.

• Omita los permisos y establezca audiencias permitidas para compartir.

Si una aplicación solicita permiso para compartir en su nombre a través de un servicio social, es posible que tenga la oportunidad de no dar ese permiso (lo verá en Facebook cuando vea un “Omitir” botón). Si esa es una opción, ¡úsala! También puede configurar el público para el intercambio permitido; por ejemplo, puede compartirlo con todos sus amigos, un público personalizado o solo usted.

• Tratar las solicitudes de permisos de manera diferente según las cuentas.

¿Qué publicas en Instagram? ¿Qué publicas en Twitter? Una solicitud para leer sus publicaciones de Foursquare puede ser mucho menos aterradora que otorgar “Redactar y enviar nuevo correo” privilegios a su cuenta de Gmail.

• Cambia tus contraseñas regularmente.

Cuando cambie sus contraseñas, se invalidará inmediatamente una cantidad de tokens de OAuth, lo que requerirá que vuelva a iniciar sesión y vuelva a aprobar los tokens. Hasta donde he podido averiguar, Gmail y Facebook invalidan los tokens cuando cambias tu contraseña, pero Twitter y Google+ no. Para estos otros servicios, deberá revocar el acceso y luego volver a emitir los permisos.

Conclusión: conveniencia por un precio

Iniciar sesión en sitios y servicios con sus credenciales sociales agrega mucha conveniencia e incluso un poco de seguridad. Pero poder ser arriesgado, tanto desde el punto de vista de la privacidad como, en menor medida, de seguridad. Pero si practica los cinco consejos de seguridad anteriores, solo debe otorgar los permisos que desea.

¿Con qué frecuencia utiliza su información de inicio de sesión social en otro sitio? ¿Te sientes seguro haciéndolo? ¿Lees y vuelves a verificar los permisos de forma regular? Comparte tus pensamientos a continuación!