Ich bin mir ziemlich sicher, dass es einige Websites gibt, auf denen Sie sich mit Ihrem Facebook- / Google-Konto auf ihrer Website anmelden müssen (die angezeigte URL lautet also nicht Facebook / Google). Ich bin sicher, dass es einige Desktop-Anwendungen gibt, die dies ebenfalls tun.

Dies ist eine sehr schlechte Vorgehensweise für Websites, da OAuth / OpenID (Protokolle zum Delegieren der Authentifizierung) so konzipiert ist, dass genau dieser Anwendungsfall umgangen wird. Es gibt jedoch keine andere Möglichkeit, dies in Desktop-Anwendungen zu tun, da Desktop-Anwendungen keine Umleitungsfunktion haben.

Eine Webseite kann Sie zur Google- oder Facebook-Authentifizierung weiterleiten, wo Sie Ihre Anmeldeinformationen eingeben können. Wenn Sie sich dann erfolgreich authentifizieren, kann Google / Facebook Sie dorthin zurückleiten, wo Sie herkommen.

Dies ist in einer Desktop-Anwendung nicht möglich. Eine Möglichkeit besteht darin, dass die Desktop-Anwendung einen Webbrowser öffnet, in dem Sie sich bei Ihrem Authentifizierungsanbieter (Google / Facebook) authentifizieren. Wenn Sie hinter den Kulissen etwas Magie erleben, können Sie sich bei der Desktop-Anwendung authentifizieren. Im Großen und Ganzen ist dies jedoch ein ungelöstes Problem. Sie müssen lediglich der Desktop-Anwendung vertrauen, um Ihre Anmeldeinformationen nicht zu stehlen. Tatsächlich löst das Öffnen eines Webbrowsers das Problem auch nicht wirklich. Jetzt vertrauen Sie nur darauf, dass der Browser Ihre Anmeldeinformationen nicht stiehlt (der Browser ist auch eine Desktop-Anwendung!)

Ich habe einige Male gelesen, dass die Verwendung anderer Dienste zum Anmelden als gut angesehen wird trainieren. Ist das wahr?

Dies wird als bewährte Methode angesehen, da

benutzerfreundlich ist - Benutzer müssen sich nicht an hundert verschiedene Anmeldeinformationen erinnern

1. Im Großen und Ganzen bietet es eine bessere Sicherheit - Sie müssen nicht hundert verschiedenen Implementierungen vertrauen und hoffen, dass jede Website fehlerfrei ist und Ihr Passwort sicher speichert - Sie müssen nur Google oder Facebook vertrauen Pass auf die Sicherheit auf. Und sie sind viel besser dazu in der Lage als Ihr Neffe im Teenageralter, der ein weiteres Anmeldesystem für seine neue Website geschrieben hat.

ol>

Natürlich bedeutet dies auch, dass Sie Legen Sie jetzt alle Ihre Eier in einen Korb. Wenn jemand Ihr Google / Facebook-Konto verletzt, haben Sie viel größere Probleme, wenn Sie dieses Konto zur Authentifizierung auf hundert anderen Websites verwenden. Es gibt auch Datenschutzprobleme, wenn Sie Ihrem Authentifizierungsanbieter mitteilen, welche Websites Sie besuchen und mit welcher Häufigkeit Sie sich anmelden.

Der erste Teil ist hauptsächlich eine Teilantwort für den Desktop-Anwendungsfall. Das Installieren einer Desktop-Anwendung ist nicht dasselbe wie das Durchsuchen einer Remote-Site. In letzterem Fall vertrauen Sie darauf, dass Ihr Browser Sie (so weit wie möglich) vor möglichen Angriffen schützt. Im ersten Fall müssen Sie darauf vertrauen, dass die Anwendung keine Malware enthält. Ich mache kaum einen Unterschied zwischen dem Vertrauen in Chrome, nicht alle meine persönlichen Informationen an Google zu senden, und dem Vertrauen in eine NVidia-App, Ihr Google-Passwort nicht zu stehlen.

Der einzige wirkliche Unterschied besteht darin, dass Sie einen neuen möglichen Angriffsort hinzufügen Ihr eindeutiges Google-Passwort. Wenn Sie sich Sorgen machen, erstellen Sie einfach ein Zusatzkonto, das Sie nicht für sensible Zugriffe verwenden, und verwenden Sie es für NVidia und / oder andere Desktopanwendungen.

Davon abgesehen Es ist definitiv eine schlechte Praxis für eine Site oder sogar eine Desktop-Anwendung, sich auf den Weg zu machen und jederzeit die Verantwortung zu übernehmen, Ihr Passwort an einen externen Authentifizierungsdienst zu übergeben. Protokolle wie OAuth oder CAS wurden speziell entwickelt, um es einer Site oder Anwendung zu ermöglichen, die Authentifizierung an einen Drittanbieter zu delegieren und das Kennwort nie zu sehen . Der Client vertraut der Authentifizierung. Zum Schutz seiner Anmeldeinformationen vertraut der Anwendungsdienst der Authentifizierung. Service zur sicheren Identifizierung des Kunden. Punkt. Dem Anwendungsdienst vertrauen zu müssen, um die Anmeldeinformationen nicht zu stehlen, ist meiner Meinung nach ein Entwurfsfehler.

Für den Desktop-Anwendungsfall ist es richtig, dass Sie das Update sicher über Ihren Browser herunterladen können - Sie übernimmt die Verantwortung für diesen Teil - und dann übernimmt die Anwendung die heruntergeladene Datei, um ihre Aktualisierungen vorzunehmen. Auf diese Weise sind Sie dafür verantwortlich, wenn etwas schief geht (z. B. wenn Sie eine kompromittierte Datei von einer Piratenseite heruntergeladen haben). Aber eine App. Entwickler wissen nicht immer, wer für was verantwortlich sein sollte ...

Meiner Meinung nach ist dies keine gute Praxis. Einige Fragen können nicht ignoriert werden:

• Google und Facebook untersuchen bereits unsere Privatsphäre und verkaufen unsere persönlichen Daten an Drittunternehmen und Werbetreibende. Es ist nur mehr Nahrung für den Fisch. Deshalb bieten sie diesen Service an.
• Wie @Pascal sagt, befinden sich alle Eier im selben Korb und vertrauen auf einen Dritten. Heutzutage keine gute Option.
• Sie können sich einen Oauth-Server entwickeln, ohne Facebook oder Google verwenden zu müssen. Auf diese Weise können Sie sicher sein, was mit Ihren Daten geschieht.

Ich glaube, es war dieses Video, in dem genau das besprochen wird.

Um es zusammenzufassen:

"Wenn Sie die Option haben, nicht zu speichern Wählen Sie immer diese Option aus, und lassen Sie sich nicht damit befassen, sondern lassen Sie dies von jemand anderem (vorzugsweise größer) für Sie tun. Dies ist ein potenzielles Problem weniger, über das Sie sich Sorgen machen müssen. "

Nun, wenn Google und Facebook es verwenden, muss man ein bisschen wählerisch sein, um es nicht als Best Practice zu betrachten. Sie haben die besten Authentifizierungsmitarbeiter der Welt und scheinen sich mit OAUTH2 wohl zu fühlen.

Es hat seine Vorteile - Sie müssen keinen Passwort-Wartungscode schreiben, Sie können sich ziemlich sicher sein, dass ihr Code gründlich getestet wurde usw. Einer der Nachteile ist, dass das Testen in Ihrer App mühsam sein kann und Ihre Benutzer ein Konto bei einem Anbieter haben müssen.

Nachdem ich gesagt habe, dass ich OAUTH2 nicht mehr verwende, gehe ich mit SMS und Challenge-Codes zu Two Factor. Ich war überrascht, wie einfach es war, eine Verbindung herzustellen. Keiner der oben genannten Nachteile trifft zu - einfach zu testen, und es ist viel wahrscheinlicher, dass Menschen eine Zelle als ein Konto haben. Es ist ziemlich günstig (obwohl OAUTH2 kostenlos ist) und ich denke, es ist sicherer. Natürlich YMMV