Valuta separatamente accesso all’account, permessi sui dati e recupero delle chiavi della chat: un pulsante di accesso non risponde a tutte e tre le domande.
«Accedi con Google» non significa automaticamente che Google possa accedere al testo in chiaro delle chat, né è un’opzione senza un costo in termini di fiducia. Introduce un fornitore di identità nel processo di accesso: le informazioni trasferite e la dipendenza dall’account vanno valutate in base ai permessi e alla progettazione effettiva del servizio.
Per decidere, separa l’accesso all’account dall’autorizzazione ad accedere ai dati Google e dalle chiavi di cifratura delle conversazioni. Un pulsante di accesso non risponde a tutte e tre le domande.
Qual è la differenza tra OAuth e OpenID Connect?
OAuth è un framework per concedere accesso alle risorse. OpenID Connect aggiunge un livello di autenticazione. La documentazione sull’accesso Google descrive un flusso basato su OpenID Connect per identificare l’utente.
L’affermazione «OAuth consegna la password Google al servizio di messaggistica» non è quindi corretta. Il servizio deve convalidare correttamente il relativo token e proteggere la propria sessione. Anche un’autorizzazione per Gmail, Drive o altri dati è distinta dal semplice accesso. Spiegazione di permessi e ambiti.
Quali informazioni possono essere scambiate?
Il flusso di accesso di solito fornisce al servizio un identificatore e, a seconda dei permessi, informazioni come indirizzo e-mail o dettagli del profilo. Anche il fornitore di identità partecipa alle richieste di autenticazione. Ma dal nome del metodo di accesso non si può dedurre che gli vengano inviati ogni apertura dell’app, ogni messaggio o l’intera cronologia di utilizzo.
| Domanda | Che cosa verificare |
|---|---|
| Quali informazioni dell’account riceve il servizio di messaggistica? | La schermata del consenso, gli ambiti e l’informativa sulla privacy |
| È stato richiesto l’accesso a dati aggiuntivi? | La differenza tra accesso all’account e accesso a e-mail, file o contatti |
| Quando viene coinvolto di nuovo il fornitore di identità? | Le politiche di sessione e rinnovo dei token dell’implementazione |
| Le chiavi della chat dipendono da questo accesso? | La documentazione su conservazione e recupero delle chiavi, non soltanto il pulsante di accesso |
Evita di concedere permessi che non siano giustificabili rispetto alle tue esigenze. Al tempo stesso, non interpretare una richiesta specifica come «leggere tutti i messaggi» senza esaminarla.
Quali rischi comporta dipendere da un account centrale?
Se l’unico modo per accedere a un servizio di messaggistica è un account che diventa inaccessibile, i nuovi accessi possono essere compromessi. L’effetto sulle sessioni esistenti, sui dati locali e sul recupero dipende dalla progettazione del servizio. Non è quindi corretto concludere che «un blocco Google distrugga necessariamente tutte le chat».
Prima di un’emergenza, verifica se il servizio offre un metodo di accesso alternativo o una procedura di recupero e quale effetto abbia la sua aggiunta sulla sicurezza dell’account. La via alternativa non deve diventare una via più semplice per l’attaccante. Inoltre, non modificare né rimuovere il collegamento di un account senza assicurarti di poter accedere in seguito.
L’accesso diretto con SRP elimina tutti questi rischi?
L’accesso diretto può ridurre la dipendenza da un fornitore di identità esterno. SRP, se implementato correttamente, dimostra inoltre la conoscenza della password senza inviarla nei messaggi del protocollo. Il servizio di messaggistica continua però a elaborare il nome dell’account, gli eventi di accesso e le informazioni operative correlate: «senza impronta digitale» non è una descrizione corretta.
Anche il verificatore SRP memorizzato deve essere protetto. L’RFC 5054 descrive il rischio di indovinare la password dopo la divulgazione del verificatore. La sicurezza della pagina di accesso, della sessione, del recupero e del dispositivo rimane essenziale.
Nessun principio tecnico afferma che SRP sia l’unico metodo di accesso riservato o che ogni accesso federato sia intrinsecamente insicuro. A essere determinanti devono essere la qualità dell’implementazione e il modello di minaccia.
I limiti delle affermazioni di Livara
La pagina sulla sicurezza di Livara descrive SRP per l’autenticazione e dichiara esplicitamente anche la conservazione di alcuni dati operativi. Ciò non significa nascondere l’identità dell’account al servizio stesso. La stessa pagina distingue il recupero dell’identità crittografica dalla cronologia della chat.
Per un confronto pratico, chiedi a ogni servizio di rispondere alle stesse domande: quali dati riceve, quali terze parti sono coinvolte, come chiude le sessioni e come vengono recuperate le chiavi della chat? Risposte documentate sono più utili degli slogan «a conoscenza zero».
Prima di scegliere un metodo di accesso
Proteggi l’account principale e le vie di recupero, leggi i permessi richiesti, controlla i dispositivi collegati e conosci il tuo piano in caso di perdita dell’accesso all’account. Scegli poi il metodo adatto alle tue esigenze e alla tua capacità di gestione: comodità e indipendenza hanno entrambe valore, ma nessuna delle due garantisce da sola la sicurezza.
