El inicio de sesión social es una forma de inicio de sesión único que utiliza información existente de un servicio de redes sociales como Facebook , Twitter o Google para iniciar sesión en un sitio web de terceros en lugar de crear una nueva cuenta de inicio de sesión específicamente para ese sitio web. Está diseñado para simplificar los inicios de sesión para los usuarios finales, así como para proporcionar información demográfica más confiable a los desarrolladores web. [1]
El inicio de sesión social vincula cuentas de uno o más servicios de redes sociales a un sitio web, generalmente mediante un complemento o un widget . [2] Al seleccionar el servicio de redes sociales deseado, el usuario simplemente utiliza su nombre de usuario para ese servicio para iniciar sesión en el sitio web. Esto, a su vez, elimina la necesidad de que el usuario final recuerde la información de inicio de sesión para múltiples sitios web de comercio electrónico y otros, al tiempo que proporciona a los propietarios del sitio información demográfica uniforme tal como la proporciona el servicio de redes sociales. Muchos sitios que ofrecen inicio de sesión social también ofrecen un registro en línea más tradicional para aquellos que lo deseen o que no tengan una cuenta en un servicio de redes sociales compatible (y, por lo tanto, no podrían crear una cuenta en el sitio web).
El inicio de sesión social se puede implementar estrictamente como un sistema de autenticación utilizando estándares como OpenID o SAML . Para los sitios web de consumidores que ofrecen funcionalidad social a los usuarios, el inicio de sesión social se implementa a menudo utilizando el estándar OAuth . OAuth es un protocolo de autorización seguro que se utiliza comúnmente junto con la autenticación para otorgar a las aplicaciones de terceros un " token de sesión " que les permite realizar llamadas API a los proveedores en nombre del usuario. Los sitios que utilizan el inicio de sesión social de esta manera suelen ofrecer funciones sociales como comentarios, uso compartido, reacciones y gamificación .
Si bien el inicio de sesión social se puede extender a los sitios web corporativos, [3] la mayoría de las redes sociales y los proveedores de identidad basados en el consumidor permiten identidades autoafirmadas. Por este motivo, el inicio de sesión social generalmente no se utiliza para aplicaciones estrictas y de alta seguridad, como las del sector bancario o de la salud.
Los estudios han demostrado que los formularios de registro en sitios web son ineficientes, ya que muchas personas proporcionan datos falsos, olvidan su información de inicio de sesión en el sitio o simplemente se niegan a registrarse en primer lugar. Un estudio realizado en 2011 por Janrain y Blue Research descubrió que el 77 por ciento de los consumidores preferían el inicio de sesión social como medio de autenticación frente a los métodos de registro en línea más tradicionales. [4] Beneficios adicionales:
El uso del inicio de sesión social a través de plataformas como Facebook puede hacer que los sitios web de terceros resulten inutilizables de forma involuntaria en ciertas bibliotecas, escuelas o lugares de trabajo que bloquean los servicios de redes sociales por razones de productividad. También puede causar dificultades en países con regímenes de censura activa , como China y su " Proyecto Escudo Dorado ", donde el sitio web de terceros puede no estar censurado activamente, pero se bloquea de manera efectiva si se bloquea el inicio de sesión social de un usuario. [6]
Existen otros riesgos asociados con el uso de herramientas de inicio de sesión en redes sociales. Estos inicios de sesión también son una nueva frontera para el fraude y el abuso de cuentas, ya que los atacantes utilizan medios sofisticados para piratear estos mecanismos de autenticación. [7] Esto puede dar como resultado un aumento no deseado de la creación de cuentas fraudulentas o, peor aún, que los atacantes roben con éxito las credenciales de las cuentas de redes sociales de usuarios legítimos. Una de las formas en que se explotan las cuentas de redes sociales es cuando se tienta a los usuarios a descargar extensiones de navegador maliciosas que solicitan permisos de lectura y escritura en todos los sitios web. Estos usuarios no son conscientes de que más tarde, normalmente una semana después de su instalación, las extensiones descargarán algún malware de Javascript en segundo plano desde su sitio de comando y control para ejecutarse en el navegador del usuario. A partir de ese momento, estos navegadores infectados con malware se pueden controlar de forma remota de forma eficaz. Estas extensiones esperarán hasta que el usuario inicie sesión en una red social u otra cuenta en línea, y utilizando esos tokens o credenciales se registrarán en otras cuentas en línea sin el permiso expreso del usuario legítimo.
En marzo de 2012, un artículo de investigación [8] informó sobre un estudio exhaustivo sobre la seguridad de los mecanismos de inicio de sesión social. Los autores encontraron 8 fallas lógicas graves en proveedores de ID de alto perfil y sitios web de terceros que dependían de ellos, como OpenID (incluidos Google ID y PayPal Access), Facebook , Janrain , Freelancer , FarmVille , Sears.com , etc. Debido a que los investigadores informaron a los proveedores de ID y a los sitios web de terceros que dependían del servicio antes del anuncio público del descubrimiento de las fallas, las vulnerabilidades se corrigieron y no se han informado violaciones de seguridad. [9] Esta investigación concluye que la calidad de seguridad general de las implementaciones de SSO parece preocupante.
Además, los inicios de sesión sociales suelen implementarse de forma insegura. En este caso, los usuarios deben confiar en que todas las aplicaciones que implementan esta función manejarán su identificador de forma confidencial. [10]
Además, al depender de una cuenta que funciona en muchos sitios web, el inicio de sesión social crea un único punto de falla, lo que aumenta considerablemente el daño que se causaría si la cuenta fuera pirateada.
A continuación se incluye una lista de servicios que ofrecen funciones de inicio de sesión social y que recomiendan que otros sitios web utilicen. Entre ellos se encuentran los proveedores de inicio de sesión con identidad federada .