OAuth 的权限问题与信息隐忧

[核心提示] 以 QQ 登陆和微博登陆为代表的“一键登陆”背后不仅仅是登陆这么简单，它还默认获取了你的其他隐私资料和账号的部分使用权限，我们在享受便利的同时一定不要忘记保护好我们的个人信息安全。

去年3Q大战之后，开放几乎成为了最热的词汇，随后的国内互联网看似进入了开放平台的“蜜年”，各种基于开放平台的应用和社会化登录也随之出现。

将自身的产品和服务与大网站平台对接，不仅能省去注册等繁琐工作，不用为储存和传输大量的用户账号信息而烦恼，还可以迅速的带来流量、用户资源，并得到更好的推广。而对于平台来说通过 API 支持协议可以得到很多的应用接入，可以为用户提供更多更好的服务。这对开发者和平台提供商来说是双赢的局面。因此，QQ 登录、各种微博登录和 SNS 登陆也似乎成为了第三方网站或应用的必备按钮。（在昨天腾讯宣布其QQ登录已经成为国内最大第三方帐号登录体系。）

本来利用已有的账号登陆这些第三方网站和应用是一件好的事情，因为从体验上来说可以方便用户，但是国内这些“一键登陆”真的是用户想的那样“一键登陆”吗？我们看到一个网站就用我们的账号登陆难道没有隐患吗？ 这些”登陆“的背后的关键是什么？

如果你有够细心的话会发现所有登陆基本都是弹出一个对应对话框，其地址栏中也都会包含有“OAuth”字样。这说明，其当前采用的是 OAuth 协议。在目前，无论是国外还是国内，绝大部分都是采用 OAuth 协议来完成在第三方网站或应用的登陆的。

OAuth 是什么？它有什么优点呢？为什么都采用 OAuth？

OAuth（开放授权）是一个开放标准 ，允许用户让第三方应用访问该用户在某一网站上存储的私密的资源（如照片，视频，联系人列表），而无需将用户名和密码提供给第三方应用。via 维基百科

OAuth 的权限问题与信息隐忧

OAuth 的优点

OAuth 不会使第三方网站或应用接触到用户的帐号信息（如用户名与密码），授权后的 http 通信中也不再传输用户信息而是以数字签名和访问令牌（Access Token）取代，即使截到数据包，也无法还原出用户的登录信息。这是OAuth 最大的优点，也是它得以逐渐成为现在通用的授权标准的原因。

OAuth 被普及的原因

对用户来说方便、安全；对中小第三方网站和应用来说，OAuth 可以使它们能够得到用户基本信息外的其他信息资料和账户部分使用权限；对大网站平台来说，OAuth 可以完美的解决用户的账户安全和开发者授权的平衡问题。因此 OAuth 协议确定后就获得了包括国外 Twitter、Facebook 和 Google 等认可，之后在国内也得到了有效跟进。

OAuth 授权的信息隐患

凡是只有其利就有其弊，OAuth 也不例外。为什么在安全上看似完美无缺的 OAuth 都有信息隐患呢？

1. 被滥用了的 OAuth 授权

OAuth 是一个授权（authorization）协议而不是认证（authentication）协议，因此，对于 OAuth 来说最大的信息隐患就是其本身。

OAuth 提供的是权限分配而非认证。在国内大多数网站的一键登陆根本没有去区分认证和授权 ，全部混淆为授权。本身用类似 OpenID 的简单认证即可完成的事情却非要走授权。而一键登陆在给用户带来便利的同时也带来了另一个弊端：用户变得越来越不在意自己的账号。因为 OAuth 协议本身的安全给了我们一种假象：别人获取不到我的账号密码，所以我的账户很安全。我们要明白，授权本身的实质相当于系统为第三方网站/应用开了一个后门，而你的授权就是允许它们可以走后门进来获取你的隐私资料和使用权限。

打个比方就是，虽然它们不知道你家的锁长什么样，也没有你家的钥匙，但是人家就是能进得去你家，还可以看你家的电话簿，用你家的电话给你的亲朋好友打电话等。很多其实扮演的只是抄水表的角色，在门外瞅一眼即可，但是偏偏国内那些平台们把水表安到了你家里面，这样很多抄水表的就可以打着抄水表的借口从后门去你家向你的亲朋好友宣传它水表抄的好，想继续去你亲朋好友家抄水表。

譬如一些小游戏和星座信息之类的第三方网站和应用，无一例外都会要求我们授权给它们我们的好友关系、生日、相册、评论、甚至地理信息位置。对于我们来说，个人信息的安全不仅仅是我们的用户名和密码，那些“被授权”的都是信息安全的一部分，甚至是最重要的部分。前几天通过 QQ 圈子我们也了解到了这些信息有多重要。

你授权的网站/应用越多，意味着越多的网站和应用能够接触到你的账户资料并拥有部分使用权限，也意味着隐患越多。虽然它们并没有获取到的你的账户密码，虽然你之后从未登陆过或使用过它们，但是，除非你去隐藏很深的后台设置里面取消它们的权限，否则它们是一直能够接触到你的账户资料并拥有你账户的部分使用权限的。

某种程度上说，OAuth 对我们个人信息安全来说是一扇隐形的窗户，而且这个窗户还是默认永久开放的。

2. OAuth 使用的不规范

在很多时候，出问题的环节往往不是技术，而是背后使用技术的人。

我们该注意些什么？该怎么做？

未来，国内应该分区开认证和授权，给用户减少不必要的隐患，期待国内出现一个统一的OpenID（不像国外 OpenID 那样繁琐，或许类似 BrowserID 的东西），而不像现在，虽然号称一键登陆，但实际上许多第三方网站/应用在用户授权登录后，依旧有二次登录或重新注册等操作。

虽然目前这些隐患只是表现为偶尔的偷偷关注或偷偷以用户账号发一些广告，并没有爆发出严重的事件。但是想想那么多隐私信息和部分权限控制在那么多的第三方应用或平台上就有点不寒而栗的感觉。

服务的整合本来是大势所趋，也是未来方向，但是国内这些将认证和授权混为一谈的做法使得我们不仅没有更使得我们可以更方便更安全更省事的去管理，去获得服务，反而使我们的账户更加混乱，更埋下了信息安全的隐患。对此我们一定要提高警惕。

后记：在国外 OAuth 也没有太多安全可言，最近两天一个名为reference.me的社交服务就在滥用OAuth 协议，用户只要用 Google 账户授权登录就会自动向所有联系人发送邀请邮件，大家要注意。