Твиттер @ где-нибудь дыра в безопасности? - PullRequest
0 голосов
/ 25 марта 2011

Я разрабатываю приложение для Twitter на веб-странице на основе @where.

Я думаю о @anywhere как о версии Twitter Javascript SDK для Facebook (возможно, в этом я и ошибаюсь).

Во всяком случае, все идет так.

Вы размещаете код «Подключиться к Twitter» на своей веб-странице, и если пользователь входит в систему с помощью Twitter и авторизует ваше приложение, вы можете делать с ним все, что захотите.

Так что, если @user_a вошел в систему со своей учетной записью Twitter и зашел на ваш сайт, вы можете сделать что-то необычное, например, показать фолловеров @user_a или написать в Твиттере их аккаунт или что-то подобное.

Проблема развивается следующим образом. Предположим, что @user_a уже вошел в ваше приложение, затем @user_a выходит из твиттера (потому что это был общедоступный компьютер: /), а затем кто-то другой заходит в Twitter как @user_b. Если @user_b перейдет на вашу веб-страницу @anywhere, он увидит все, как если бы @user_a вошел в систему! D:

Твиттер говорит, что все в порядке, потому что все основано на куки-файле, и вы должны предоставить пользователю кнопку для выхода из ВАШЕГО сайта из @anywhere. Для меня это кажется непрактичным, потому что если вы (пользователь) захотите прекратить использовать твиттер, вы просто выходите из веб-страницы, и это должно быть все (как в Facebook); Вы не должны помнить, чьи сайты вы уже подключили к Твиттеру, и посещать их, чтобы выйти из них, просто чтобы защитить себя от кого-то, кто использует вашу учетную запись. И, что еще хуже, это печенье может быть легко украдено, и вы хорошо знаете остальную часть истории.

Я что-то не так делаю? Думаю ли я, что @anywhere API - это нечто иное, чем предполагалось?

1 Ответ

0 голосов
/ 28 марта 2011

@ нигде не рекламирует себя как SSO , поэтому ему не нужен механизм единого выхода. Идея состоит в том, чтобы использовать @anywhere для входа на другие сайты, и в этот момент ответственность за обработку сеансов ложится на эти сайты, в том числе когда нужно выходить из системы. Так же, как если пользователь входит на сайт a и сайт b с двумя разными паролями, он обязан подписать каждый сайт.

В то время как оставленные токены @anywhere, которые остаются активными, могут позволить последующим пользователям, токены активны только в течение нескольких часов, ограничивая потенциальный урон.

...