การสร้างบัญชีด้วยตนเองเจ็บปวด: เราแค่อยากเข้าถึงบริการของแอป ไม่อยากใช้ 5 นาทีตั้งค่าอีเมล รหัสผ่าน และข้อมูลพื้นฐาน นั่นคือเหตุผลที่ปุ่ม "Log in with Facebook" และ "Log in with Google" กลายเป็นที่นิยมทั่วอินเทอร์เน็ต
ผู้ใช้ชอบเทคนิค federated login นี้เพราะทำให้สร้างบัญชีง่ายขึ้น และเว็บ/แอปชอบเพราะได้ผู้สมัครมากขึ้น ด้วยการที่คุณสร้างบัญชีด้วย Google, Facebook, Twitter, Microsoft, LinkedIn, Github, WeChat, VKontakte, Weibo และอื่นๆ โอกาสคุณเคยใช้บริการเหล่านี้สูง แต่อาจสงสัยสั้นๆ ว่าเป็นไอเดียดีไหม คุณถูกต้องที่จะสงสัย: ใช่ มันสะดวก แต่มีการแลกเปลี่ยน (trade-offs) ด้านความปลอดภัย และเป็นถนน חד-สาย (one-way street) ด้านความเป็นส่วนตัว
Social Logins ทำงานอย่างไร?
ไม่ได้ทุกระบบทำงานเหมือนกัน แต่กระบวนการพื้นฐานค่อนข้าง universal บริการล็อกอินบุคคลที่สามส่วนใหญ่ใช้การผสมผสานของโปรโตคอล OpenID และ OAuth OpenID จัดการการอนุญาตผู้ใช้ (ล็อกอิน Facebook ยืนยันตัวตนของคุณให้เว็บที่คุณพยายามใช้) ในขณะที่ OAuth ควบคุมว่าเว็บอื่นๆ เข้าถึงข้อมูลของคุณได้อย่างไร (ชื่อ อายุ ความสนใจ เพื่อน ฯลฯ)
มีผู้เล่นหลัก 3 ฝ่ายในกระบวนการ social login:
- The User (คุณ!) ที่ขอเข้าถึงแอปหรือเว็บ
- The App หรือเว็บที่ผู้ใช้ต้องการเข้าถึง
- The Authorizer ที่ยืนยันตัวตนและควบคุมการเข้าถึงข้อมูลของคุณ (Facebook, Google, ฯลฯ)
Social login แบบปกติเกิดขึ้นดังนี้:
- User กดปุ่ม "Log in with ____"
- App เปิดลิงก์ขอให้ User ล็อกอินที่เว็บของ Authorizer ลิงก์มีข้อมูลบอก Authorizer ว่าเว็บไหนกำลังขอ
- User ใส่ username และ password ที่เว็บของ Authorizer หมายถึง App ไม่ได้เห็นข้อมูลของคุณเลย
- Authorizer สร้างรหัสครั้งเดียว (one-time-use code) ส่งให้ App
- App ส่งรหัสนี้ไปที่ Authorizer พร้อมขอเข้าถึง API ของ Authorizer
- Authorizer ตรวจสอบรหัส และออก token (มักมีเวลาหมดอายุ) ให้ App เพื่อขอข้อมูลผู้ใช้บางอย่างจาก Authorizer
ข้อดีด้านความปลอดภัย: Social logins อาจปลอดภัยกว่า email-password logins
Social logins ปลอดภัยเท่ากับบริษัทที่จัดการ ซึ่งเป็นบริษัทเทคโนโลยีใหญ่ที่สุดโลก จึงอยู่ในประเภท "ดีพอสมควร" คุณไม่เห็น Facebook และ Google ถูกแฮ็กซ้ายขวา เพราะพวกเขาใส่ใจ cybersecurity มาก และลงทุนมากกว่าร้านค้าปลีกทั่วไปมาก
หากคุณใช้ federated login เว็บที่คุณสร้างบัญชีไม่ได้เข้าถึง username และ password ของคุณจริงๆ หมายถึงไม่มีใครขโมยบัญชีของคุณได้ (แม้อาจได้ข้อมูลที่เกี่ยวข้องบางส่วน)
คุณยังไม่ได้ใส่รหัสผ่านทุกที่ และเนื่องจากเรามัก reuse รหัสผ่านบ่อย นี่จึงเป็นเรื่องดี เราอาจไม่ปฏิบัติตาม best practices รหัสผ่านอยู่แล้ว ยิ่งเราเผยแพร่ความปลอดภัยที่ไม่ดีน้อยลง ยิ่งดี
ข้อเสียด้านความปลอดภัย: หาก social login ของคุณล้ม บัญชีอื่นๆ ก็ล้มตาม
ถ้า Facebook และ Google "ถูกแฮ็กจริง" หรือใครเข้าบัญชีของคุณได้? ทั้งสองบริษัทเคยมีปัญหาข้อมูลในอดีต (Cambridge Analytica, Google+) และ LinkedIn ถูกแฮ็กโดยตรง ดังนั้น Big Tech ไม่มีประวัติ 100% สะอาด
ใครที่มี social media login ของคุณ สามารถปลแทนเป็นคุณบนทุกแอปและเว็บที่คุณใช้ social media login ได้ไหม? โดยพื้นฐานแล้ว ใช่ ไม่ว่าจะเป็นช่องโหว่ระบบ รหัสผ่านอ่อน หรือมัลแวร์บนคอมพิวเตอร์รอคุณล็อกอิน Facebook ใครที่มี credentials ของคุณ สามารถปลแทนคุณบนแอปอื่นได้ นี่ทำให้ social logins กลายเป็น single point of failure สร้างเอฟเฟกต์โดมิโน่ หากบัญชี authorize ถูกโจมตี
หมายถึง อะไรมากมายพึ่งพาบัญชีโซเชียลของเราที่ปลอดภัย Facebook, Google, Twitter ทำงานหนักเพื่อนั้น แม้พวกเขาทำหน้าที่ได้ดี ถ้ารหัสผ่านของคุณคือ 123456789 (ดูเคล็ดลับรหัสผ่านแข็งแกร่ง) และคุณค้างล็อกอินบนอุปกรณ์ร่วมหรือเข้าถึงทางกายภาพได้ หากคุณใช้ social login คุณควรจัดการมันเหมือนกุญแจสำคัญสำหรับบัญชีที่มันเข้าถึงได้
ข้อดีด้านความเป็นส่วนตัว
ส่วนนี้จะสั้น เพราะไม่มีประโยชน์ด้านความเป็นส่วนตัวให้ผู้ใช้จริงๆ Social logins ไม่ได้ยิงข้อมูลของคุณไปให้ผู้ขอแบบไฟร์โฮส (firehose) ซึ่งเป็นขั้นต่ำที่คาดหวัง แต่คุณเกือบจะเสมอสละข้อมูลส่วนตัวมากกว่าการใช้ email/password combo ธรรมดา
ข้อเสียด้านความเป็นส่วนตัว: ทุกคนรู้จักคุณมากขึ้น
ขึ้นอยู่กับบริการที่ใช้ คุณมีการควบคุมมากหรือน้อยเกี่ยวกับข้อมูลที่แอปได้ดึงจากโปรไฟล์โซเชียลของคุณ แต่ง่ายมากที่จะให้ข้อมูลมากกว่าที่ตั้งใจ แอปขอได้ทุกอย่างในความรู้ว่า ผู้ใช้ส่วนใหญ่จะกด "Yes" โดย default เพื่อน ตำแหน่ง ประวัติโพสต์ ความสนใจ และข้อมูลส่วนตัวอื่นๆ อาจถูกเก็บ (scrape) ได้โดยที่คุณไม่รู้สนิทสนอง
อีกด้านหนึ่ง จำได้ไหมว่าบริษัทส่วนใหญ่ที่ให้บริการ login สนใจเก็บข้อมูลเกี่ยวกับคุณมากขึ้น พวกเขาอยากรู้ว่าคุณใช้แอปอะไร บ่อยแค่ไหน และรายละเอียดรายละเอียดว่าคุณทำอะไรในแอป การใช้พวกเขาล็อกอิน คือการส่งข้อมูลนั้นให้พวกเขาโดยตรง ขนาดข้อมูลที่ Facebook และ Google ได้จากแอปที่ใช้บริการ login ของพวกเขา ไม่ชัดเจน แตถ้าคุณไม่สบายใจกับบริษัทที่อาจรู้มากเกินไปเกี่ยวกับสิ่งที่คุณทำในแอป หоро่ไม่ลิงก์บัญชีกับบริษัทนั้น
ควรใช้ Social Logins หรือไม่?
Social logins อาจปลอดภัยกว่าในหลายกรณี โดยเฉพาะหากคุณระมัดระวังเก็บบัญชีหลักให้ปลอดภัย และไม่แน่ใจว่าแอป/เว็บมี cybersecurity ดีพอ จริงๆ แล้วปลอดภัยกว่าที่จะล็อกอินแอป/เว็บ sketchy ด้วย social login เพราะคุณไม่สละรหัสผ่านที่คุณ reuse หลายที่ อย่างไรก็ตาม หากคุณสร้างบัญชีที่มีข้อมูล sensitive บนบริการที่ปลอดภัยดี email/password combo ที่แข็งแกร่งเป็นตัวเลือกที่ดีที่สุด
เรื่องความเป็นส่วนตัว เป็นการตัดสินใจส่วนตัว หากคุณไม่อยากให้แอปรู้จักคุณมากกว่าที่จำเป็น อย่าล็อกอินด้วย Facebook ใช้ได้เท่าเทียมทางกลับ: อย่าใช้ third-party authorizer เว้นแต่คุณสบายใจกับ third party ที่เก็บข้อมูลเพิ่มเติมเกี่ยวกับคุณ
