Jak "bezpieczniejsze" oznacza mniej bezpieczne...
2022-05-30 kategorie: prywatne praca
Dzisiaj jest dzień, w którym Google permanentnie wyłącza tzw. "dostęp dla mniej bezpiecznych aplikacji". Tłumacząc na ludzki :), oznacza to, że aplikacje inne niż działające w oparciu o przeglądarkę WWW - na przykład w szczególności programy pocztowe - nie będą mogły zalogować się do Gmaila korzystając tylko z loginu i hasła. Osobiście nie korzystam z Gmaila, ale obsługuję "odziedziczoną" pocztę kilku organizacji i inicjatyw społecznych, w które jestem zaangażowany, a które korzystają z kont właśnie w tym serwisie - tak więc mnie ten problem również dotyka.
Trzeba przełączyć program albo na logowanie za pomocą okienka logowania Google (o ile program obsługuje taką funkcję) - fachowo nazywa się to OAuth2 - albo skorzystać z tzw. haseł dla aplikacji. Co ciekawe, tę drugą możliwość Google oferuje tylko dla kont, które mają włączone dwuskładnikowe uwierzytelnianie - zupełnie nie rozumiem, dlaczego nie może jej oferować dla kont, które takiego uwierzytelniania nie mają; przecież jedno z drugim nie ma nic wspólnego?
Skorzystanie zarówno z jednej, jak i z drugiej możliwości oznacza jednak, że dostęp do konta - wbrew temu, co mogłyby sugerować słowa "wyłączenie dostępu dla mniej bezpiecznych aplikacji" - staje się właśnie... mniej bezpieczny. A to dlaczego?
Korzystając ze zwykłego hasła, nigdy, ale to nigdy nie używam funkcji zapamiętania go w programie pocztowym; każdorazowo wpisuję hasło ręcznie, gdy program mnie zapyta. Hasło nie jest więc nigdzie zapisane na komputerze i nawet gdyby ktoś uzyskał dostęp do tego komputera, nie dostanie się do mojej poczty.
Tymczasem zarówno w przypadku logowania przez OAuth2, jak i przy użyciu haseł do aplikacji, zapamiętanie danych do logowania na komputerze jest konieczne. W przypadku OAuth2 wynika to z samego sposobu działania tej metody logowania: program wyświetla raz oryginalne okienko ze strony Google, w którym prosi o podanie loginu i hasła, po czym zapamiętuje otrzymany od Google tzw. token, który pozwala mu na zalogowanie. Przy ponownym uruchomieniu program wykorzystuje już zapamiętany token, bez potrzeby ponownego ręcznego logowania się. Hasła do aplikacji są natomiast losowymi ciągami 16 znaków, których nie sposób zapamiętać, więc także wymagają zapamiętania ich w programie (i zresztą z myślą o takim sposobie ich użycia zostały zaprojektowane).
Oznacza to, że ktoś, kto uzyska dostęp do komputera i uruchomi program pocztowy, uzyskuje od razu dostęp do mojej poczty bez konieczności jakiegokolwiek ręcznego logowania się. Ewentualnie jeśli ma zacięcie hackerskie ;), może odszukać plik, w którym zapisane są dane logowania, i wykorzystać je do uzyskania dostępu już z własnego komputera.
A zatem co tu jest tak naprawdę "mniej bezpieczne"?