Tạo tài khoản thủ công rất phiền: chỉ muốn dùng dịch vụ app, không muốn tốn 5 phút thiết lập email, mật khẩu, thông tin cơ bản. Đó là lý do nút "Đăng nhập với Facebook" và "Đăng nhập với Google" trở nên phổ biến khắp Internet.
Người dùng thích kỹ thuật đăng nhập liên kết (federated login) này vì tạo tài khoản dễ dàng hơn, web/app thích vì thu hút nhiều người đăng ký hơn. Vì có thể tạo tài khoản bằng Google, Facebook, Twitter, Microsoft, LinkedIn, Github, WeChat, VKontakte, Weibo, và nhiều hơn, khả năng bạn đã dùng một trong số này, nhưng cũng thắc mắc xem có phải ý tưởng tốt không. Bạn đúng khi thắc mắc: đúng là tiện lợi, nhưng có đánh đổi về bảo mật, và về mặt riêng tư về cơ bản là đường một chiều.
Đăng Nhập Mạng Xã Hội Hoạt Động Như Thế Nào?
Không phải hệ thống nào cũng hoạt động y hệt, nhưng quy trình cơ bản khá phổ biến. Hầu hết dịch vụ đăng nhập thứ ba dùng kết hợp giao thức OpenID và OAuth. OpenID lo phần ủy quyền người dùng (đăng nhập Facebook xác thực danh tính cho trang bạn muốn dùng), OAuth quản lý cách trang khác truy cập dữ liệu của bạn (tên, tuổi, sở thích, bạn bè, v.v.).
Có 3 bên chính trong quy trình đăng nhập xã hội:
- Người dùng (bạn!) yêu cầu truy cập app/trang web
- App/trang web mà người dùng muốn truy cập
- Bên ủy quyền (Authorizer) xác thực danh tính và kiểm soát truy cập dữ liệu (Facebook, Google, v.v.)
Quy trình điển hình:
- Người dùng nhấn nút "Đăng nhập với ____".
- App mở liên kết yêu cầu người dùng đăng nhập trang của bên ủy quyền. Liên kết chứa thông tin cho bên ủy quyền biết trang nào đang yêu cầu.
- Người dùng nhập tên đăng nhập/mật khẩu vào trang bên ủy quyền, nghĩa là App không bao giờ thấy thông tin của bạn.
- Bên ủy quyền tạo mã dùng một lần (one-time code) gửi cho App.
- App gửi mã này đến bên ủy quyền kèm yêu cầu truy cập API.
- Bên ủy quyền xác thực mã và cấp cho App một token (thường có giới hạn thời gian) cho phép App yêu cầu thông tin người dùng nhất định từ bên ủy quyền.
Ưu Điểm Bảo Mật: Đăng nhập xã hội có thể an toàn hơn đăng nhập email/mật khẩu
Đăng nhập xã hội an toàn bằng công ty quản lý chúng, và vì là những công ty công nghệ lớn nhất thế giới, xếp loại "khá tốt". Bạn không thấy Facebook, Google bị hack liên tục, vì họ quan tâm rất nhiều đến an ninh mạng và đầu tư nhiều hơn chuỗi bán lẻ trung bình.
Nếu dùng đăng nhập liên kết, trang bạn tạo tài khoản không bao giờ thực sự lấy được tên người dùng/mật khẩu, nghĩa là không ai đánh cắp tài khoản (dù có thể lấy một số thông tin liên kết).
Bạn cũng không nhập mật khẩu khắp nơi, và vì ta hay dùng lại mật khẩu, đây là điều tốt. Chúng ta có thể không tuân thủ thực hành mật khẩu tốt, nên càng ít lan truyền bảo mật kém càng tốt.
Nhược Điểm Bảo Mật: Nếu đăng nhập xã hội sập, tài khoản bạn cũng sập theo
Điều gì nếu Facebook, Google thực sự bị hack, hoặc ai đó xâm nhập tài khoản bạn? Cả hai đều từng có sự cố dữ liệu (Cambridge Analytica, Google+), LinkedIn bị hack thẳng mặt, nên Big Tech không có سجل 100% sạch.
Ai có đăng nhập mạng xã hội của bạn có thể giả mạo bạn trên mọi app/trang web bạn dùng đăng nhập xã hội không? Cơ bản là có. Dù là vi phạm an ninh hệ thống, mật khẩu yếu, hay phần mềm độc hại chờ bạn đăng nhập Facebook, bất kỳ ai có thông tin đăng nhập có thể mạo danh bạn trên app khác. Điều này làm đăng nhập xã hội trở thành điểm lỗi đơn lẻ (single point of failure), tạo hiệu ứng domino nếu tài khoản ủy quyền bị xâm phạm.
Nghĩa là rất nhiều thứ dựa trên tài khoản mạng xã hội an toàn. Facebook, Google, Twitter nỗ lực, nhưng dù họ giữ lời, có hạn độ nếu mật khẩu bạn là 123456789 (xem mẹo mật khẩu mạnh) và bạn để đăng nhập trên thiết bị chia sẻ/tiếp cận vật lý. Nếu dùng đăng nhập xã hội, hãy đối xử với nó như chìa khóa cho mọi tài khoản nó có thể truy cập.
Ưu Điểm Riêng Tư
Phần này ngắn vì thực sự không có lợi ích riêng tư cho người dùng. Đăng nhập xã hội không "phun" dữ liệu cho ai yêu cầu, đây là tối thiểu mong đợi, nhưng bạn gần như luôn từ bỏ nhiều thông tin cá nhân hơn so với dùng email/mật khẩu đơn giản.
Nhược Điểm Riêng Tư: Mọi người biết về bạn nhiều hơn
Tùy dịch vụ dùng, bạn có nhiều/ít kiểm soát dữ liệu app được phép lấy từ hồ sơ xã hội. Dễ dàng cho ra nhiều hơn ý định, và app có thể yêu cầu gì cũng được vì hầu hết người dùng mặc định "Đồng ý". Bạn bè, vị trí, lịch sử đăng bài, sở thích, thông tin cá nhân khác dễ bị "gọt" mà bạn không hoàn toàn hay biết.
Phía kia, nhớ rằng hầu hết công ty cung cấp dịch vụ đăng nhập rất muốn thu thập thêm dữ liệu về bạn. Chúng muốn biết bạn dùng app gì, bao giờ dùng, thậm chí chi tiết hơn về hành vi trong app, và dùng chúng để đăng nhập về cơ bản là trao thông tin đó trực tiếp cho chúng. Chính xác Facebook, Google lấy bao nhiêu dữ liệu từ app dùng đăng nhập của họ không rõ, nhưng nếu không thoải mái với công ty có thể biết nhiều về hành vi bạn trong app, tốt nhất đừng liên kết tài khoản với công ty đó.
Nên Dùng Đăng Nhập Xã Hội Hay Không?
Đăng nhập xã hội có thể an toàn hơn nhiều trường hợp, đặc biệt nếu bạn giữ tài khoản chính "chặt chẽ", và không chắc app/trang web có an ninh mạng tốt nhất. Thực tế an toàn hơn khi đăng nhập app/trang web "nghi ngờ" bằng đăng nhập xã hội, vì không từ bỏ mật khẩu bạn có thể dùng lại cho nhiều trang. Tuy nhiên, nếu tạo tài khoản chứa thông tin nhạy cảm trên dịch vụ bảo mật tốt, combo email/mật khẩu mạnh là lựa chọn tốt nhất.
Về riêng tư, là quyết định cá nhân. Nếu không muốn app biết về bạn nhiều hơn cần thiết, đừng đăng nhập bằng Facebook. Cái này đúng ngược lại: đừng dùng bên ủy quyền thứ ba trừ khi thoải mái với việc bên đó thu thập thêm dữ liệu về bạn.