OpenID Foundation заявляет, что «Sign In with Apple» может подвергнуть пользователей угрозам безопасности и конфиденциальности

В начале этого месяца, Apple объявила о новой функции на WWDC 2019. Функция ориентирована на конфиденциальность, которая позволит пользователям macOS Catalina и iOS 13 входить в посторонние приложения и веб-сайты с помощью своего Apple ID.

Эта функция в значительной степени приветствуется как более безопасная альтернатива аналогичным службам входа, предлагаемым Facebook, Google и Twitter, поскольку она аутентифицирует пользователя с помощью Face ID или Touch ID и не отправляет личную информацию разработчикам приложений и веб-сайтов.

Однако, реализация функции «Sign In with Apple» была поставлена ​​под сомнение OpenID Foundation (OIDF), некоммерческой организацией, членами которой являются Google, Microsoft, PayPal и другие.

В открытом письме руководителю Apple по программному обеспечению Крейгу Федериги, фонд высоко оценил функцию аутентификации Apple за «широко применяемый» OpenID Connect – стандартизированный протокол, используемый многими существующими платформами входа, который позволяет разработчикам аутентифицировать пользователей на веб-сайтах и ​​в приложениях без необходимости использования отдельных паролей.

Тем не менее, было предупреждение, что между OpenID Connect и Sign In with Apple остается несколько различий, которые могут поставить под угрозу безопасность и конфиденциальность пользователей.

Текущие различия между OpenID Connect и Sign In with Apple сокращают количество платформ где могут использоваться Sign In with Apple, и подвергает их большей угрозе безопасности и конфиденциальности. Это также накладывает ненужное бремя на разработчиков OpenID Connect и Sign In with Apple. Преодолев нынешние проблемы, Apple сможет взаимодействовать с широко доступным программным обеспечением OpenID Connect Relying Party.

Чтобы исправить ситуацию, фонд обратился к Apple с просьбой устранить различия между Sign In with Apple и OpenID Connect, которые уже были запечатлены в документе, управляемом группой сертификации OIDF.

Он также предложила компании использовать набор сертификационных тестов OpenID для улучшения взаимодействия платформ, и публично заявить об их совместимости и присоединиться к OpenID Foundation.

Вскоре, после релиза «Sign In with Apple», технический гигант передал разработчикам, что если приложение позволяет пользователям входить в систему с помощью своих учетных записей Facebook или Google, то оно также должно предоставить альтернативный вариант для «Sign In with Apple».