Как стать автором
Обновить

Насколько безопасна сегодня авторизация через мессенджеры?

Уровень сложностиСредний
Время на прочтение4 мин
Количество просмотров4K
Всего голосов 4: ↑2 и ↓2+2
Комментарии10

Комментарии 10

Остается один вопрос. А зачем это? :-)
Клиент при регистрации в сервисе создает логин и пароль (ну + регистрирует почту для восстановления пароля). При аутентификации их вводит. Это работает нормально уже 30 лет.
Что тут "не так" и по какой причине нужно что-то усложнять?

И самое смешное, из-за "пожизненной" привязки телефона к сервисам вроде ВК и мейл, возникаб как утечки данных через 2факторку - на Вк в ппинципе можно получить доступ к чужой странице... зато восстановить свой доступ порой бывает невозможно

Потому что типовой пользователь регулярно забывает пароли. В том числе от почты для восстановления.

И? Лучшее средство от перхоти - гильотина? :-)
От телефона пароль тоже забывают? Чем одно от другого то отличается? Где логика?

Логика в том, что выбрано максимально удобное для типового пользователя решение.

Выбрано кем и для кого? И наверно большими буквами написано для клиента что это не безопасно? Прям как в ситуации когда номер телефона в торговой точке для регистрации скидочных программ требуют... :-)

Во-первых, снижается количество паролей, которые пользователь должен помнить (и которые, как следствие, может забыть). Да, существуют менеджеры паролей, но ими пользуется подавляющее меньшинство людей.

Во-вторых, регистрация через мессенджер сразу устанавливает верифицированный канал связи с пользователем. В методе логин + пароль + почта, почту надо либо дополнительно верифицировать довольно неудобным с точки зрения UX способом; либо принимать на веру, что она введена правильно. Но тогда получается ситуация: забытый пароль + опечатка в почте = до свидания аккаунт.

В-третьих, привязка к мессенджеру - простой способ конечно не полностью предотвратить, но хотя бы усложнить бесконтрольное злонамеренное создание квадриллионов аккаунтов. Большинство мессенджеров привязаны к номеру телефона, а номера телефонов стоят денег.

Вот три возможные причины что-то усложнять.

1) Достаточно помнить 1 способ "связки" собственного устойчивого пароля с конкретным сервисом (пароль сервиса связан с его идентификатором). Менеджер паролей не нужен.
2) "Верифицированный" канал связи (в вашем случае) устанавливается не с пользователем - а с другим сервисом. Пользователь там может быть и совершенно другой (собственно так же как и в случае почтового сервиса).
3) "номера телефонов стоят денег" - и не принадлежат "по факту" конкретному пользователю, почитайте договор с оператором сотовой связи (номер он вам дает в аренду и может им пользоваться по своему усмотрению).

В чем проблема создания "квадриллионов аккаунтов" - в вашей процедуре создания пользователя? Так напишите ее корректно - и проблемы не будет.

Я где не пытался логиниться через гугл или какой ещё имеющийся аккаунт, у меня сайт всё равно начинал кучу информации уточнять. А если всё равно форму регистрации заполнять, то какой смысл логиниться через сторонний сервис?

Лучше уж сразу аккаунт отдельный создать. Плюс можно разделять сайты по важности. Где-то на мусорную почту с паролем 123 регистрироваться, а где-то - с полным комплектом реальных данных.

Кстати, с 1 марта 2023 российским банкам запрещено передавать любые сообщения через иностранные мессенджеры.

Нет, не любые. Читайте уже внимательно законы. Нельзя персданные и информацию о счетах и операциях.

Зарегистрируйтесь на Хабре, чтобы оставить комментарий