xml地图|网站地图|网站标签 [设为首页] [加入收藏]

向阳Gmail账号的意气风发扇隐形窗

来源:http://www.ruibiaowang.com 作者:基础资源服务 人气:79 发布时间:2019-11-12
摘要:现在的网民们经常遇到这种情况:某天你点开了一个有趣新奇的网站,比如Unroll.me,这个网站为Gmail用户提供方便快捷的邮件筛选和订阅服务,前提是你将自己的Gmail账户开放授权给他们

现在的网民们经常遇到这种情况:某天你点开了一个有趣新奇的网站,比如Unroll.me,这个网站为Gmail用户提供方便快捷的邮件筛选和订阅服务,前提是你将自己的Gmail账户开放授权给他们。

一、什么是OAuth2.0
官方网站:

等一等,你有没有想过自己到底是把访问私人邮箱的权利给了谁呢?Unroll.me这个新网站上没有任何企业认证信息,也没有企业邮箱账号、团队成员名录和隐私条款。根据经验,这个网站背后很有可能是一个不要脸的垃圾邮件传播者,或者是个喜欢寻开心的无聊人士,难道我们就这样把自己八年的邮件记录开放给他查看了么?收件箱中可能会有你各个网站的密码重置记录,你的银行账单以及各种私人信息,想想这些,真是不寒而栗。

权威定义:OAuth is An open protocol to allow secure authorization in a simple and standard method from web, mobile and desktop applications.

幸亏Unroll.me并不是个黑心网站,网站的创始人和首席运营官佩里·布雷克·格曼已经保证会在网站正式进入公共测试之后添加所有的企业信息。

OAuth是一个开放协议,允许用户让第三方应用以安全且标准的方式获取该用户在某一网站、移动或桌面应用上存储的私密的资源(如用户个人信息、照片、视频、联系人列表),而无需将用户名和密码提供给第三方应用。

但是,自从2010年3月Gmail加入了开放授权(OAuth)协议之后,已经有无数新兴互联网站点在你的账号中开了一扇隐形的窗户,而且这个窗户还是永久开放的。也许这项协议给开发者和用户们都带来了极大的便利,但我们也不得不担心开放授权协议的隐私性隐患。

OAuth 2.0是OAuth协议的下一版本,但不向后兼容OAuth 1.0。 OAuth 2.0关注客户端开发者的简易性,同时为Web应用,桌面应用和手机,和起居室设备提供专门的认证流程。

通往开放授权之路

21世纪的第一个十年中,许多网络极客们都非常抵触“密码反模式“(The Password Anti-Pattern),这是一种之前被许多网络服务所采用的第三方授权协议,这种协议要求用户输入邮箱的账号与密码,将服务与邮箱账户进行连接,比如我们大家很熟悉的“从你的MSN联系人中寻找友邻”。虽然方便,但它毫无疑问也是钓鱼大杀器。

人们想到的解决办法就是“开放授权”(OAuth)协议,这种协议的授权不会使第三方接触到用户的账号信息,即第三方无需使用用户的用户名与密码就可以申请获得该用户资源的授权。假如你曾经将你的微博、邮箱或人人账号授权给某项服务,那么你就是开放授权协议的使用者之一。

开放授权协议一次性解决了许多问题,比如用户的授权过程更为简单,只需点击几下就行,你的账号与密码也不会被有心人得到,服务开发者们也不用为了储存和传输大量的用户账号信息而烦恼。

但如此的便利也带来了另一个弊端:将用户变得越来越不在意自己的账号。即便是资深网民,也会无意识地让自己的账号跟无数第三方应用连接起来,比如俺的豆瓣账号,不经意间也授权给了十好几个应用,微博和人人更不用说,种类繁多的小游戏和“星座信息”之类的杂项服务无一例外都会要求你授权给他们。但是跟社交网站比起来,邮箱中所存有的重要信息明显更多,如果你的常用Gmail账号授权给了许多网站,那么很可能你的私人信息已经暴露的差不多了。

OAuth允许用户提供一个令牌,而不是用户名和密码来访问他们存放在特定服务提供者的数据。每一个令牌授权一个特定的网站(例如,视频编辑网站)在特定的时段(例如,接下来的2小时内)内访问特定的资源(例如仅仅是某一相册中的视频)。这样,OAuth允许用户授权第三方网站访问他们存储在另外的服务提供者上的信息,而不需要分享他们的访问许可或他们数据的所有内容。

隐私危机

现在我们可以列出一长串需要Gmail第三方授权的应用,功能五花八门:整理邮件、邮件备份、邮件共享等等等等。一旦授权成功,所有的这些应用都会拥有对你邮箱的无限制查看权,这也正是危险之处。也许你相信谷歌能保证你的邮件安全,但是你是否相信三个大学生用三个月写的小程序?或者一个程序员用业余时间编出来的游戏之作?要是这些应用的开发者中有一个心怀不轨,那就大事不妙了。一旦这些应用的授权用户名单被窃取或泄漏,那么所有曾经使用过它们的用户的Gmail全部内容都会暴露。更可怕的是,如果应用开发方没有发现用户信息泄漏,或者隐瞒不报,那么你永远也不会知道自己的邮件历史已经被有心人得到了。

新浪微博API目前也使用OAuth 2.0。

如何应对

很显然,我们不能因噎废食,因为这样的小隐患就废除开放授权协议这样的优秀产品。为了保证我们的个人隐私安全,大家可以这样做:

清理你的第三方应用授权: 现在,马上登陆你的各种常用账号,将那些无关紧要的或你不再使用的第三方应用取消授权,特别是那些拥有Gmail授权的应用。你可以利用这个网站MyPermissions.org来获取自己的授权应用名单。

授权之前要三思: 在你将自己的账号授权给一个应用之前,先查清楚应用开发者的具体信息和他们的隐私保护条款,知道自己到底授权给了谁。一旦你觉得有不对劲的地方,马上点屏幕右上角。

当你怀疑时,马上改密码: 当你觉得自己的邮件有可能被其他人阅读了,或是自己的账号被别人所登陆了,但又不确定是哪次授权引来的狼,那就马上重设你的密码吧。

本文编译自 wired

原文:

二、微信公众平台OAuth2.0授权

微信公众平台OAuth2.0授权详细步骤如下:

  1. 用户关注微信公众账号。
  2. 微信公众账号提供用户请求授权页面URL。
  3. 用户点击授权页面URL,将向服务器发起请求
    4. 服务器询问用户是否同意授权给微信公众账号(scope为snsapi_base时无此步骤)
  4. 用户同意(scope为snsapi_base时无此步骤)
  5. 服务器将CODE通过回调传给微信公众账号
  6. 微信公众账号获得CODE
  7. 微信公众账号通过CODE向服务器请求Access Token
  8. 服务器返回Access Token和OpenID给微信公众账号
  9. 微信公众账号通过Access Token向服务器请求用户信息(scope为snsapi_base时无此步骤)
  10. 服务器将用户信息回送给微信公众账号(scope为snsapi_base时无此步骤)

 

 

使用的AppId和AppSecret在功能-高级功能-开发模式-开发者凭据中,可以找到。图片 1

本文由澳门新葡萄京娱乐网站发布于基础资源服务,转载请注明出处:向阳Gmail账号的意气风发扇隐形窗

关键词:

上一篇:毁了这一个公司,自曝一定要走

下一篇:没有了

最火资讯