¿Cómo verifico que los diálogos de inicio de sesión sociales en la aplicación sean seguros?

No puede, al menos no hasta que los desarrolladores de sistemas operativos móviles detengan priorizando UX sobre seguridad .

Por ahora, lo mejor que puede hacer es asegurarse de que la aplicación que está usando sea de un desarrollador legítimo y confiable, y las credenciales que solicita están relacionadas con la función de la aplicación (una aplicación de fotos que solicita las credenciales de Instagram para publicarlo parece estar bien, pero la misma aplicación de fotos que solicita las credenciales de Spotify sería más sospechosa). Además, debe considerar esa cuenta particular comprometida por el desarrollador de la aplicación, por lo que no debe usar esa cuenta para obtener información que no quiere que vean. En algunos sitios que no revocan tokens de OAuth en los cambios de contraseña, una solución para evitar futuros accesos no autorizados (fuera del flujo legítimo de OAuth) sería cambiar su contraseña. Como el token de OAuth aún sería válido, la funcionalidad legítima de la aplicación aún debería funcionar, pero los intentos de iniciar sesión con la contraseña recuperada ya no tendrán éxito. Por supuesto, esto no es a prueba de balas, ya que una aplicación verdaderamente maliciosa probablemente tenga un bot ejecutándose en sus servidores que cambia el correo electrónico y la contraseña de su cuenta en el momento en que la ingresa, lo que le impide acceder a su cuenta.

A largo plazo, la solución sería presionar a los desarrolladores de sistemas operativos móviles para que detengan las tonterías descritas en mi primer enlace o al menos proporcionen una alternativa de WebView segura y controlada por el sistema operativo que las aplicaciones puedan usar para solicitar credenciales. El hecho de que WebView le demuestre al usuario que realmente está controlado por el sistema operativo (haciendo algo que las aplicaciones normales no pueden, como interceptar al presionar un botón de inicio) y muestra claramente la URL solicitada por la aplicación, por lo que no puede intentar mostrar un sitio de phishing.

Esto me acaba de pasar. Lo que hice no es confiar en ello y seguir estos pasos:

1. Verifique los dispositivos conectados en mi Facebook y que reciba notificaciones para nuevos dispositivos.
2. Cambie mi contraseña de Facebook a algo aleatorio que me haya dado mi administrador de contraseñas.
3. Escriba esa contraseña en la vista de la aplicación
4. Cambie mi contraseña de Facebook otra vez. NO salga de todos los dispositivos cuando se le solicite.
5. Revisar todo está en orden.

De esa manera, estoy seguro de que soy el único que se conectó en ese momento y que nadie tiene una contraseña de Facebook válida.

Sin embargo, es un PITA ya que la misma aplicación podría pedirme que confirme la identidad en el futuro y hacer estos pasos cada vez es realmente inconveniente .