¿Se puede confiar en las aplicaciones al solicitar sus credenciales?
No. En las aplicaciones modernas y las aplicaciones web, los usuarios se han vuelto insensibles a las solicitudes de nombre de usuario, contraseña y otros detalles inocuos. Los elementos comunes han llevado a los usuarios a creer que estos nibblets de información son útiles para la aplicación. Sin embargo, esto está mal. Con raras excepciones, la autenticación no es necesaria para la función de la aplicación.
De hecho, creo que el uso de la autenticación de la aplicación es perjudicial para el usuario. Hace que la autenticación sea demasiado común, lo que hace que los usuarios sean menos prudentes y cuidadosos en los casos en que se necesita autenticación. Estructura el espacio de identidad, lo que facilita a los atacantes adivinar su identidad. Simplifica el espacio de teclas, lo que facilita a los atacantes encontrar sus claves. Humedece la seguridad de la operación y degrada la práctica de seguridad para activos con valor.
¿No es esto lo mismo que administrar la contraseña a los desarrolladores de dicha aplicación?
Sí, con raras excepciones. Incluso en los casos en que el protocolo no entrega directamente la contraseña a la aplicación o al desarrollador, sino que entrega un token de autenticación, el potencial de uso indebido y abuso es alto. Incluso OAuth tiene vulnerabilidades "Este protocolo no intenta verificar la autenticidad del servidor". .
¿No es este un método extremadamente eficiente para recopilar contraseñas y un terrible riesgo de seguridad para los usuarios?
Sí, incluso cuando no es intencional, los esquemas de autenticación mal diseñados pueden proporcionar una gran cantidad de información para los atacantes. Incluso si el nombre de usuario y la contraseña que usa para una aplicación típica no es lo mismo que el nombre de usuario y la contraseña que usa para activos más importantes, los patrones que usa ayudan a los atacantes a reducir la valiosa autenticación. En contraste, los protocolos bien diseñados como OAuth tienen un lado positivo: reducen el número de pares de nombres de usuario y contraseñas, así como el número de interfaces de autenticación mal implementadas y de diseño deficiente.
Sin embargo, también debemos mirar a los proveedores de servicios de OAuth: Google, Yahoo y Facebook. Estas son compañías que tienen interés en recopilar y agregar información sobre los usuarios específicamente para ganar dinero con esa información. El uso de estas compañías como proveedores de autenticación es en parte una extraña contorsión de confianza. Confía en estas empresas para manejar la autenticación de su identidad solo a las partes que especifique . Si bien tienen un interés conflictivo en proporcionar información sobre usted con la mayor resolución posible a las partes que desconoce. Su reclamo más efectivo es que la información que brindan sobre usted a terceros es anónima. Sostienen que esto será cierto a pesar del hecho de que ahora conocen su identidad y la han autenticado, potencialmente muchas veces. No he podido encontrar ninguna política que indique específicamente que estos proveedores nunca permitirán que su identidad autenticada se conecte a otros recopilados. Caveat emptor.
La aplicación en cuestión: 'aplicación de lector de noticias para mi tableta que se conecta a Google Reader'
El propósito de esta aplicación es monitorear el contenido en línea disponible públicamente y sin costo (sitios web y fuentes RSS) para detectar nuevos contenidos, notificarle cuando se detecte contenido nuevo y mostrar el contenido a pedido. El contenido en línea no es exclusivo de usted, lo que significa que no necesita identificarse para obtener los datos.
Los datos que no están relacionados con usted son la lista de sitios y el contenido que ha marcado como no nuevo. La singularidad requiere identidad pero no necesariamente autenticación. La aplicación utiliza Google Reader, aunque simplemente podría implementar sus propias funciones sin la necesidad de utilizar Google Reader. Es probable que la aplicación esté haciendo esto para mantener sus datos coherentes (sincronizados). Desea poder verificar el contenido en línea desde varios dispositivos diferentes y no necesita actualizar manualmente los cambios en un dispositivo que realizó en otro. Tenga en cuenta que la aplicación aún podría sincronizarse con otros dispositivos sin utilizar Google Reader.
Sus datos únicos (listas de sitios y contenido de lectura) se transfieren desde y hacia su dispositivo. La autenticación no proporciona confidencialidad (privacidad). Por lo tanto, la autenticación no protege a los demás para que no vean las listas de su sitio y el contenido de lectura. La autenticación no proporciona integridad, por lo que sus datos podrían corromperse o modificarse maliciosamente mientras se encuentra en tránsito. Lo que proporciona la autenticación es una forma de controlar el recibo y el almacenamiento de los datos. Si los datos son suyos, entonces deben ser válidos y, por lo tanto, se debe aceptar una actualización de su dispositivo actual a todos sus otros dispositivos para que sus datos se mantengan sincronizados.