¿Podría ser inseguro sugerir la vinculación de cuentas con otros proveedores de identidad en función de su dirección de correo electrónico?

0

Digamos que tengo un sitio donde los usuarios pueden iniciar sesión con Google+ o Twitter. Ahora imagine que un usuario llamado Bob sigue los siguientes pasos:

  1. Inicia sesión en mi sitio con su cuenta de Twitter. Solicito su dirección de correo electrónico de Twitter y obtengo [email protected] .
  2. Después de realizar algunas acciones, Bob cierra la sesión.
  3. Algún tiempo después, Bob vuelve al sitio, pero se olvida de que tiene una cuenta en Twitter y se registra en Google+. Parece un nuevo usuario para mí, así que solicito la dirección de correo electrónico de Google+ y obtengo [email protected] .

Así que ahora, mi aplicación puede detectar que hay dos usuarios con la misma dirección de correo electrónico. ¿Estaría bien para que aparezca un mensaje que diga "Oye, parece que ya tienes una cuenta en este sitio, vinculada a tu cuenta de Twitter. Inicia sesión con Twitter para combinar esta cuenta con tu cuenta anterior"?

    
pregunta bigblind 02.02.2015 - 17:30
fuente

1 respuesta

1

Solo si puedes validar que es realmente el inicio de sesión de Bob. De lo contrario, estás entregando una tonelada de datos y enciéndelo a un falso Bob.

Un paso mejor sería "Oye, ¿eres tú? Inicia sesión con Twitter / tus otras credenciales para fusionar tu cuenta". De esa manera, un atacante tendría que conocer las credenciales de Twitter Y las credenciales de G + para enrollar las cuentas juntas. Si lo hacen, entonces el pobre Bob se atornilla de cualquier manera, y si realmente es Bob, puede simplemente decir "¡Oh, es cierto!" y presentar las credenciales de Twitter.

Por supuesto, esto presenta un desafío de usabilidad y UI, pero tengo las habilidades de UX de un guijarro.

    
respondido por el Ohnana 02.02.2015 - 17:56
fuente

Lea otras preguntas en las etiquetas