„Facebook“ nori pateikti jūsų interneto vairuotojo licenciją

Nors daugeliui tai nėra akivaizdu, „Facebook“ iš populiariausios pasaulyje socialinės žiniasklaidos svetainės virsta svarbia interneto tapatybės infrastruktūros dalimi. Jei tai pavyks, „Facebook“ ir „Facebook“ paskyros taps dar didesniu programišių taikiniu.

Saugos specialistams diskutuojant, ar internetui reikalingas tapatybės sluoksnis – vienodas vartotojų tapatybės autentifikavimo protokolas – vis daugiau svetainių balsuoja su savo kodu ir naudoja „Facebook Connect“ kaip būdą kiekvienam, turinčiam „Facebook“ paskyrą prisijungti prie svetainės mygtuko paspaudimu.

„Facebook“ pristatė „Connect“ dar 2008 m. liepos mėn., siūlydama trečiųjų šalių svetainių įrankius, skirtus suderinti su „Facebook“ turima vartotojo informacija, įskaitant prisijungimus. Taigi svetainės turėjo galimybę leisti „Facebook“ vartotojams identifikuoti save pagal savo „Facebook“ tapatybę.

Pavyzdžiui, žiniatinklio statistikos pardavėjas „Alexa“ suteikia naujiems vartotojams galimybę susikurti paskyrą įvedant vartotojo vardą ir slaptažodį arba tiesiog spustelėjus mygtuką „Prisijungti su Facebook“. Gerai žinomos svetainės, kuriose taip pat naudojamas „Connect“, yra „Internet Movie Database“, „Ask.com“ ir ESPN. Kiti beveik neabejotinai imsis 2011 m.

„Facebook“ tapatybės sistema gali labai gerai pasiūlyti tai, ką VeriSign, „Microsoft“, „Yahoo“ ir „Google“ stengėsi pasiūlyti: vieną vairuotojo pažymėjimą internetui. (Tai palieka nuošalyje klausimą, ar gera vienai įmonei užimti tokias galios pozicijas.)

Dėl unikalaus veiksnių derinio „Facebook“ puikiai tinka būti žmonių tapatybės saugykla internete. Skirtingai nuo daugelio populiarių svetainių, naudotojai turi užsiregistruoti ir prisijungti. Ir „Facebook“. paslaugų teikimo sąlygos reikalauti, kad vartotojai pateiktų savo tikrus vardus ir informaciją – iš tikrųjų „Facebook“ nutraukė paskyras, kurios buvo sukurtos iš pažiūros netikrais vardais arba išgalvotiems veikėjams. Kadangi „Facebook“ vartotojai į savo paskyras investuoja didžiulį kiekį ilgalaikio asmeninio turinio, įskaitant nuotraukas, kontaktinę informaciją ir ryšius su savo socialiniu tinklu, tikėtina, kad jie išlaikys ilgalaikius ryšius su svetaine.

Dėl šios tikrosios tapatybės išlikimo „Facebook“ gali išspręsti vieną iš aktualiausių šiandienos interneto problemų – vartotojų vardų ir slaptažodžių gausėjimą.

Priešingai nei šiandieninė praktika, daugumai svetainių nėra jokios priežasties versti savo vartotojus susikurti vartotojo vardus ir slaptažodžius. Daugumai svetainių nereikia, jos net nenori arba turi tvarkyti savo vartotojų tapatybę – jos tiesiog nori būdo patikimai identifikuoti savo vartotojus laikui bėgant. Pavyzdžiui, žiniasklaidos svetainės nori turėti galimybę priskirti komentarus ir apriboti šlamštą. Asmeninių finansų svetainės nori suteikti vartotojams galimybę saugiai stebėti labai asmeninę informaciją, pavyzdžiui, akcijų portfelį, kurį vartotojas gali įvesti.

Be to, vartotojo tapatybės infrastruktūros palaikymas turi savo pavojų – kaip skaudžiai paaiškėjo praėjusį mėnesį, kai įsilaužėliai įsilaužė į „Gawker Media“ valdomus serverius ir atsisiuntė daugiau nei milijono „Gawker“ paskyrų naudotojų vardus ir slaptažodžius. Nors slaptažodžiai buvo užšifruoti, juos buvo lengva atspėti, todėl paskyras buvo galima nesunkiai nulaužti. išpuolio analizė Kembridžo universiteto saugumo tyrinėtojai. Po atakos kelios nesusijusios svetainės, įskaitant „LinkedIn“ ir „Woot“, išsiuntė el. laiškus savo vartotojams, įspėdami juos pakeisti slaptažodžius, jei jie buvo tokie patys, kaip ir „Gawker“.

„Facebook“ prisijungimas leidžia bet kuriai planetos svetainei naudoti savo tapatybės infrastruktūrą ir pagrindines saugumo priemones. Įdiegti „Facebook“ prisijungimą paprasta tiesiog pridedant kelias kodo eilutes prie žiniatinklio serverio. Atlikę šį pakeitimą, svetainės vartotojai pamatys mygtuką Susisiekti su Facebook. Jei jie jau yra prisijungę prie „Facebook“ (neseniai apsilankę svetainėje), jie gali tiesiog jį spustelėti ir jie yra prisijungę. Jei jie neseniai neprisijungė, jų bus paprašyta įvesti „Facebook“ vartotojo vardą ir slaptažodį.

Įdomus šalutinis privalumas svetainių operatoriams yra tai, kad „Facebook Login“ svetainėje pateikia tikrus vartotojų vardus (daugeliu atvejų) ir pasirinktinai įvairios kitos informacijos, pvz., vartotojų draugus ir mėgstamus dalykus. Šiuo metu „Facebook“ neapmokestina svetainių, kad galėtų naudotis savo tapatybės infrastruktūra ar pasiekti šią papildomą informaciją, nors „Facebook“ tikrai galėtų ateityje.

„Facebook“ jau yra gerai susipažinęs su interneto saugumo problemomis vien dėl to, kad jame saugomi daugiau nei 500 mln. žmonių asmeniniai duomenys. Padidėjęs „Facebook“ platformos naudojimas ne tik socialinei žiniasklaidai – pavyzdžiui, bankas Naujojoje Zelandijoje lapkritį paskelbė, kad leis klientams pasiekti banko informaciją „Facebook“ – akivaizdžiai kelia naujų rūpesčių. Ir jei įmonė išplės savo galimybes siūlydama universalų prisijungimą internete, iššūkiai, su kuriais ji greičiausiai susidurs, dar labiau padidės.

Iš tiesų, per pastaruosius kelerius metus „Facebook“ ėmėsi veiksmų, kad pagerintų savo platformos saugumą keliais būdais.

Pavyzdžiui, praėjusiais metais „Facebook“ pristatė sistemą, leidžiančią vartotojams paprašyti vienkartinio slaptažodžio, kad jie galėtų prisijungti iš viešojo terminalo, kuriame gali būti įdiegta klavišų paspaudimų registravimo šnipinėjimo programinė įranga. Vartotojai iš registruoto mobiliojo telefono siunčia SMS žinutes su raidėmis otp į 32665 (FBOOK), o Facebook serveriai atsiunčia slaptažodį, kurį galima naudoti tik vieną kartą prisijungiant prie vartotojo paskyros. Teorija tokia, kad nesvarbu, ar įsilaužėlis naudoja slaptažodžių šnipinėjimą, nes slaptažodis neveiks antrą kartą.

Kita naujovė yra tai, kad „Facebook“ leidžia vartotojams stebėti įvairias žiniatinklio naršykles ir įrenginius, iš kurių jie prisijungia prie „Facebook“. Paspaudę ant Paskyros nustatymai išskleidžiamajame meniu ir pasirinkę skiltį Paskyros sauga, „Facebook“ vartotojai gali matyti visus šiuo metu autentifikuotus įrenginius, iš kurių bet kurio galima atsijungti nuotoliniu būdu – tai naudinga, jei atsitiktinai paliksite prisijungę savo tėvų kompiuteryje. Taip pat galite nustatyti, kad „Facebook“ išsiųstų SMS pranešimą į jūsų mobilųjį telefoną, kai naujas įrenginys prisijungia prie jūsų „Facebook“ paskyros. Žinoma, jei matote ryšį iš įrenginio, kurio neatpažįstate, laikas pakeisti slaptažodį.

Deja, „Facebook“ vis dar turi dvi svarbias spragas, dėl kurių jos svetainė yra žymiai mažiau saugi nei daugelio JAV bankų: jos priklausomybė nuo vieno vartotojo vardo ir slaptažodžio norint pasiekti paskyrą ir nešifruoto slapuko naudojimas, skirtas sekti, kurios interneto naršyklės. yra prisijungę.

Vartotojo vardo ir slaptažodžio derinys yra silpnoji vieta. „Facebook“ paskyroms gali pakenkti užpuolikas, galintis pavogti šią informaciją iš kitos svetainės arba atspėti ją išbandydamas daugybę derinių iš eilės (vadinamoji žiaurios jėgos ataka).

Sukūrėme sistemas, skirtas apsisaugoti nuo tokio pobūdžio žiaurios jėgos atakų, sako Simonas Axtenas, „Facebook“ atstovas. Pavyzdžiui, jei aptiksime keletą įtartinų bandymų prisijungti prie tam tikros paskyros, mums reikės CAPTCHA ir netgi galime laikinai sustabdyti prieigą prie paskyros.

Axtenas teigia, kad „Facebook“ stebi daugybę signalų, įskaitant vietą ir įrenginį, kad nustatytų, kada paskyra patiria nuolatinį ataką. Pažymėję bandymą – net jei buvo įvesti teisingi prisijungimo duomenys – reikalausime, kad prisijungęs asmuo pateiktų papildomą autentifikavimą, pavyzdžiui, atsakydamas į saugos klausimą, įvesdamas SMS žinute atsiųstą kodą arba identifikuodamas draugus. pažymėti nuotraukose, prie kurių paskyros savininkas turi prieigą.

Nepaisant to, yra būdų, kaip gauti prieigą prie asmens Facebook paskyros net nežinant slaptažodžio. Taip yra todėl, kad „Facebook“ naudoja tai, kas vadinama autentifikavimo slapuku, kad galėtų sekti žiniatinklio naršyklę, kai ji yra prisijungusi. Skirtingai nuo „Facebook“ slaptažodžių, kurie yra užšifruojami, kai jie siunčiami internetu, slapukai kiekvieną kartą siunčiami į nešifruotus „Facebook“ žiniatinklio serverius. kompiuteris susisiekia su svetaine. Tai nėra didelė rizika, jei naudojate laidinį interneto ryšį arba šifruotą belaidį ryšį darbe ar namuose. Tačiau jei naudojate „Facebook“ per nešifruotą belaidžio ryšio prieigos tašką kavinėje ar oro uoste, kažkas, nešiojamajame kompiuteryje paleidžiantis paketų snaiperį, gali pavogti jūsų autentifikavimo slapuką ir prisijungti prie „Facebook“ kaip jūs.

Tokį uostymą tapo lengviau nei bet kada daryti praėjusį rudenį, kai Ericas Butleris, laisvai samdomas žiniatinklio programų ir programinės įrangos kūrėjas Sietle, išleido „Firefox“ papildinį, pavadintą Ugnies avys kuris automatizuoja procesą. Kai „Firesheep“ veikia „Firefox“, gausite kiekvieno autentifikavimo slapuko, kuris buvo užuostas, sąrašą: tiesiog spustelėkite paskyros pavadinimą ir čia – Jūs prisijungiate prie vartotojo paskyros net neprisijungę.

Šiuo metu vienintelis būdas apsisaugoti nuo slapukų uostymo yra prisijungti prie Facebook naudojant šifruotą ryšį adresu https://ssl.facebook.com/ . Pasak Axten, serveris vis dar bandomas ir ateinančiais mėnesiais bus plačiau reklamuojamas kaip galimybė. Jis priduria: „Kaip visada, patariame žmonėms būti atsargiems siunčiant arba gaunant informaciją nesaugiais „Wi-Fi“ tinklais.

Axtenas teigia, kad „Facebook“ susiduria su saugumo iššūkiu, su kuriuo susidūrė tik kelios kitos įmonės ar net vyriausybės – apsaugoti daugiau nei 500 milijonų žmonių, naudojančių paslaugą, kuri nuolat puolama. Tai, kad mažiau nei vienas procentas „Facebook“ vartotojų kada nors susidūrė su saugumo problema svetainėje, yra reikšmingas pasiekimas, kuriuo labai didžiuojamės.

paslėpti