Prijavljivanje na web stranice putem Googlea, facebook je dobar za sigurnost

Sigurnost nije ponekad stvar, već trajni proces. Niste sigurni jer koristite određeni alat - sigurni ste jer svakodnevno primjenjujete sigurnosnu misao.

Uzmi lozinke. Podsjetnike čujete stalno - ne koristite ponovo lozinke na web lokacijama, aplikacijama i uslugama. Ne birajte slabe lozinke. Upotrijebite upravitelj lozinki tako da možete odabrati super komplicirane lozinke i ne morate se brinuti pokušavajući ih zapamtiti. Uključite dvofaktorsku provjeru autentičnosti kad god je to moguće. Sve su to dobri savjeti koje treba zapamtiti i slijediti. Ranije ovog tjedna moj je kolega Neil Rubenking uzeo preporuku upravitelja zaporki korak dalje i rekao da je prijava na web stranice trećih strana pomoću vaših vjerodajnica za Google, Facebook, Twitter ili druge društvene mreže sigurnosni rizik. Ne kupujem taj argument.

Vidjeli ste o čemu govorim. Iako većina usluga zahtijeva kreiranje računa ispočetka, postoje mjesta na kojima se možete prijaviti pomoću vjerodajnica za svoje društvene medije. Primjerice, Expedia omogućava vam da se prijavite putem Facebooka. Ili Inoreader (moj RSS čitač po izboru) koji vam omogućuje prijavu s Googleom. Ovo vam omogućuje preskočiti postupak kreiranja računa i samo se prijaviti s računom koji već imate. Povoljno, zar ne? Vrlo. Je li to pitanje sigurnosti kako je Neil rekao u svom djelu? Ne.

Kad god vidim web mjesto koje mi omogućuje prijavu s drugog računa, odaberem tu opciju. Ne koristim svoj Facebook račun za prijavu (izvini, Expedia), ali ako postoji opcija da koristim svoj Google račun, moram. Imam jaku i složenu lozinku i također sam omogućio dvofaktorsku provjeru autentičnosti. Dakle, moj Google račun je siguran kao i što mogu učiniti, a vjerujem da će Google poduzeti potrebne korake kako bi zaštitio moje podatke. Ništa protiv Facebooka, ali mislim da sam poduzeo bolje korake da zaštitim svoj Google račun od Facebooka.

Vjerujem li ti? Ne

Kad dođem na web mjesto i moram otvoriti račun, moja prva misao glasi: "Vjerujem li ti?" Vjerujem li web mjestu da čuva moje podatke? I ne mislim samo na lozinke i brojeve kreditnih kartica. Vjerujem li da je web mjesto poduzelo potrebne korake da u svojoj bazi podataka zaštiti moj telefonski broj, poštansku adresu i moj datum rođenja? Iskreno? Za većinu tvrtki ne, ne znam. Sigurnost aplikacija je teška - većina programera još uvijek samo uči sigurne prakse kodiranja - kao što je učinkovito osiguranje baze podataka. To je rad u tijeku, a mnoge tvrtke još uvijek nisu tamo u pogledu sigurnosti. Budući da ne mogu obilaziti kompanije i pitati: "Vjerujem li vam da čuvate moju lozinku i da je ne ukradu hakeri?" Krenim laganim putem i pretpostavim da ne mogu.

Sjećate se kršenja Gawkera prije nekoliko godina? Sve su te adrese e-pošte i lozinke izloženi jer Gawkerovi programeri nisu poduzeli korake da ih ispravno osiguraju. Ne kažem da je Gawker bio u krivu - to je medijska kuća i nitko tamo nije zamišljao da će itko ići iza sustava komentiranja stranice. Ali dogodilo se. Kao potrošač, neću pokušavati provjeriti koje su tvrtke dovoljno sigurne u povjerenje u svoju aplikaciju, a koje nisu. Usredotočit ću se na to tko točno radi posao.

Važna stvar prijave kod mojih Google vjerodajnica: web mjesto ne čuva moju lozinku ili druge podatke. Kada kliknem na gumb Google+, preusmjeravam se na Google stranicu i potvrđujem identitet na Googleovim poslužiteljima. Google zatim kaže mjestu da da, ja sam ono za koga kažem da jesam i vraća me natrag na web mjesto. Što znači da moje informacije ostaju uz Google, a web stranica upravo dobija token koji kaže "uspješno se prijavila, pustite je da prođe".

Razmotrite sva kršenja mjesta koja smo vidjeli u protekle dvije godine. Postoje web mjesta na koja se prijavljujem samo da vidim kako izgleda, a zatim se odustanem nakon nekoliko dana jer nije ono što sam trebala. Ako sam stvorio račun na web mjestu, moji podaci nalaze se u bazi podataka te web lokacije. Čak i nakon što odustanem od te stranice, moj račun živi dalje. (Zbog toga ne volim web mjesta koja ne dopuštaju brisanje računa, ali to je drugačija priča za drugi dan.) To je puno potencijalnih mjesta za krađu mojih podataka. Ako za prijavu koristim svoj Google račun, tada web stranica nema nikakve podatke o meni da ih ukradem. To je uvjerljivo. Ako napustim tu web lokaciju, Google mi dozvoljava opoziv dozvola za račun kako se više nitko ne može prijaviti kao ja.

Razgovarajmo o opozivu. Smisao puštanja Googlea, Facebooka i Twittera da upravljaju prijavom znači da ih možete koristiti i za blokiranje pristupa. Na primjer, pomoću Googlea prijavim se u Inoreader. Recite da više ne želim koristiti Inoreader. Jednostavno uđem u postavke svog Google računa i kliknem na "opozovem pristup". I to je to. To je razlog zašto na nekim web mjestima koristim Twitter. Twitter završava jednostavno isključivanje aplikacija nakon što završim.

Moj je cilj imati što manje baza podataka u svijetu koje sadrže zapis s mojim osobnim podacima.

Još jedna stvar mi se sviđa kod prijave s Googleom: zaporke za račun. Generiram slučajnu lozinku za koju Google sada zna da je zaporka za tu web lokaciju. Ta lozinka funkcionira samo za tu web lokaciju i ne daje pristup ničemu drugom. Umjesto generiranja lozinki putem upravitelja lozinki i stvaranja potpuno novog računa, postupak držim s Googleom. Koristim zaporku koja nije lozinka e-pošte i preskačem cijeli postupak stvaranja računa pridržavajući se Googleovih mehanizama. To je prilično korisno ako se, primjerice, prijavim u mobilnu aplikaciju. Google sada zna potvrditi moj identitet, a poput redovite prijave, opozvao sam lozinku i ta se aplikacija više ne može prijaviti.

Držite se kome vjerujete

Neil je postavio vrlo dobro pitanje: zapitajte se treba li ta stranica znati nešto o vama. Treba li web mjesto o kojem morate znati svoje ime, adresu e-pošte, fizičku adresu i telefonski broj ili bilo koje druge podatke o profilu? Ako ne, nemojte ga predati. Držite se kome vjerujete.

Ako je vaša lozinka na Facebooku "Password1", a netko s gadnim namjerama to shvati, onda da, ta osoba može ići naprijed i može se prijaviti na bilo koju drugu web lokaciju koju ste povezali s vašim računom. Ali kako se to razlikuje od onog što ste za početak odabrali "Lozinku1"? Ako za svoju e-poštu ili web mjesto na društvenim mrežama koristite zaporku koju se lako pamti, vjerovatno ne koristite niz teško pamtljivih znakova za svoj račun koji često leti kilometrima, zar ne? Dakle, ta slaba lozinka viče "Hack me!" a ne činjenica da ste se prijavili s drugim računom. A ako je netko smislio vašu Google lozinku, mislim da vas nije najveća briga može li se ta osoba prijaviti na povezane račune. Ne kada je to tako jednostavno samo tražiti e-poštu za resetiranje zaporke.

Sigurnost nema čarobni metak. Dani alat može se koristiti i za dobro i za loše. Sve je u tome kako tome pristupite. Moja je preferencija da se ne bavim bazama podataka. Što je tvoje?