oauth

Telegram並唔係俾你班友當 OAuth 咁用

Popvote果個公民提名app,竟然搞到用Telegram login,保安問題越搞越大鑊。除咗我,前線科技人員,以及資訊保安專家賴灼東,都認為popvote依家嘅玩法有保安危機,唔好再用。其實成件事最大問題,係popvote個設計出咗事,竟然妙想天開到用telegram戶口當 OAuth 咁用,完全係黐線。

Popvote 點解唔用 OAuth

其實 Popvote 想做嘅嘢,係要核證一個香港身份證持有人嘅身份,又要確保係香港人。

最理想,最保安嘅情況,其實係用 OAuth ,就如feature picture所示,持香港身份證嘅人,利用Google or Facebook 戶口去登入,然後由Google 或 Facebook 俾 authorization token,然popvote方面完成認證。Telegram由於設計上,並唔係攞嚟做 OAuth 嘅嘢,所以你實際上,係要直接login Telegram嘅session,授權 popvote 嘅程式 login Telegram ,咁梗係出事。但有 OAuth 標準設計嘅帳戶,無論Google, Facebook 定 Twitter,登入 Google, Facebook 或 Twitter都好,popvote都只係收到一個yes or no 嘅授權token,而個授權有幾多內容涉及,係可以由程式設計果個人裁量,呢個亦係好多網站依家簡化登記程序嘅基礎,咁就會安全得多。我唔明點解,係一定由無 OAuth 去安排。

如果要確保只限香港電話號碼,咁叫公眾安裝Signal,然後再利用Open Whisper Systems嘅API嘗試做類近SMS嘅認證工作,至少Signal同一技術嘅Whatsapp加密同安全度得到肯定,而Signal基本上係開放source code同API,總好過要用家login Telegram,一旦出咗事又唔知點處理。

Telegram 無諗過俾你班友當 OAuth 咁用,唔該 popvote同戴教授搵專家認真傾傾,唔好死牛一面頸。

發表迴響

你的電子郵件位址並不會被公開。 必要欄位標記為 *