OAuth 的权限问题与信息隐忧

最新推荐文章于 2024-11-07 19:34:42 发布

liu_jia_guo

最新推荐文章于 2024-11-07 19:34:42 发布

阅读量653

点赞数 1

分类专栏：编程指南文章标签：平台 authorization authentication 开放平台电话 facebook

编程指南专栏收录该内容

6 篇文章 0 订阅

订阅专栏

OAuth 是什么？它有什么优点呢？为什么都采用 OAuth？

OAuth（开放授权）是一个开放标准，允许用户让第三方应用访问该用户在某一网站上存储的私密的资源（如照片，视频，联系人列表），而无需将用户名和密码提供给第三方应用。via 维基百科

OAuth 的优点

OAuth 不会使第三方网站或应用接触到用户的帐号信息（如用户名与密码），授权后的 http 通信中也不再传输用户信息而是以数字签名和访问令牌（Access Token）取代，即使截到数据包，也无法还原出用户的登录信息。这是OAuth 最大的优点，也是它得以逐渐成为现在通用的授权标准的原因。

OAuth 被普及的原因

对用户来说方便、安全；对中小第三方网站和应用来说，OAuth 可以使它们能够得到用户基本信息外的其他信息资料和账户部分使用权限；对大网站平台来说，OAuth 可以完美的解决用户的账户安全和开发者授权的平衡问题。因此 OAuth 协议确定后就获得了包括国外 Twitter、Facebook 和 Google 等认可，之后在国内也得到了有效跟进。

OAuth 授权的信息隐患

凡是只有其利就有其弊，OAuth 也不例外。为什么在安全上看似完美无缺的 OAuth 都有信息隐患呢？

1. 被滥用了的 OAuth 授权

OAuth 是一个授权（authorization）协议而不是认证（authentication）协议，因此，对于 OAuth 来说最大的信息隐患就是其本身。

OAuth 提供的是权限分配而非认证。在国内大多数网站的一键登陆根本没有去区分认证和授权，全部混淆为授权。本身用类似 OpenID 的简单认证即可完成的事情却非要走授权。而一键登陆在给用户带来便利的同时也带来了另一个弊端：用户变得越来越不在意自己的账号。因为 OAuth 协议本身的安全给了我们一种假象：别人获取不到我的账号密码，所以我的账户很安全。我们要明白，授权本身的实质相当于系统为第三方网站/应用开了一个后门，而你的授权就是允许它们可以走后门进来获取你的隐私资料和使用权限。

打个比方就是，虽然它们不知道你家的锁长什么样，也没有你家的钥匙，但是人家就是能进得去你家，还可以看你家的电话簿，用你家的电话给你的亲朋好友打电话等。很多其实扮演的只是抄水表的角色，在门外瞅一眼即可，但是偏偏国内那些平台们把水表安到了你家里面，这样很多抄水表的就可以打着抄水表的借口从后门去你家向你的亲朋好友宣传它水表抄的好，想继续去你亲朋好友家抄水表。

譬如一些小游戏和星座信息之类的第三方网站和应用，无一例外都会要求我们授权给它们我们的好友关系、生日、相册、评论、甚至地理信息位置。对于我们来说，个人信息的安全不仅仅是我们的用户名和密码，那些“被授权”的都是信息安全的一部分，甚至是最重要的部分。前几天通过 QQ 圈子我们也了解到了这些信息有多重要。

你授权的网站/应用越多，意味着越多的网站和应用能够接触到你的账户资料并拥有部分使用权限，也意味着隐患越多。虽然它们并没有获取到的你的账户密码，虽然你之后从未登陆过或使用过它们，但是，除非你去隐藏很深的后台设置里面取消它们的权限，否则它们是一直能够接触到你的账户资料并拥有你账户的部分使用权限的。

某种程度上说，OAuth 对我们个人信息安全来说是一扇隐形的窗户，而且这个窗户还是默认永久开放的。

2. OAuth 使用的不规范

在很多时候，出问题的环节往往不是技术，而是背后使用技术的人。

1. 平台 OAuth 部署不规范

OAuth 部署是否规范，例如有无强制使用 https 加密，有无强制部署 OAuth 2.0。对移动应用的授权有无注意应用会自建浏览器，有无注意在信息回传过程中的信息防护，这些都是需要考据的问题。OAuth 协议本身没有问题，但是对协议的用途是否规范值得商榷。

事实上，各开放平台之间的技术差异很大，因此每个平台使用并不是相同版本的协议，有 OAuth 1.0、OAuth 2.0 或混合的技术体系（甚至还有继续使用不安全的 Basic Auth）。此外，如果你去翻看一下国内各个开放平台的开发文档就会发现，虽然 OAuth 整体流程大致类似，但是对于授权的定义各家有各家的标准，对待开发者的态度各不相同，对授权的限制也是各家有各家的标准，对用户的账号保护也是各有各的说法。

例如某家开发平台上对待涉及自身利益的时候用“严禁”“禁止”字眼，而涉及用户账号利益的时候就变成了“不应”、“不鼓励” 等字样。再例如，对未审核应用、待审核应用和未通过审核应用的限制，国内只有两家平台对使用人数进行限制外，其他各家都只是稍微限制了一下调用频率次数和不显示来源而已。

综合来看，国内的关于OAuth协议标准的实施部署是一个开发者和平台综合博弈的结果。

2. 应用开发者不自律

OAuth 的安全性相当一部分需要依靠应用开发者的高度自律，不该有的权限不去申请，但是事实并非如此。正常情况下，平时我们所用的 90% 的应用只需用只读权限即可，但是相反的是，只有 5% 的应用只拥有只读权限。对于开发者开说，尽量获取到用户账户的使用权限似乎是一种”追求“，而不管用不用得到。这不仅让人想起了 Android 移动应用上的普遍高权限。