“使用……登录并隐私”：及时披露 Web SSO 登录选项间的隐私差异
密码学与安全
2024-12-23 v3
摘要
自 Web 单点登录（SSO）协议引入以来，网站上的登录选项数量不断增加。Web SSO 服务允许用户授予网站或依赖方（RPs）从身份提供者（IdP）账户访问其个人资料信息的权限。许多 RP 站点未能提供充分的隐私相关信息以使用户做出知情的登录决策。此外，各登录选项在权限请求上的隐私差异在很大程度上对用户隐藏，且手动提取和比较十分耗时。在本文中，我们对支持三种主要 IdP 登录选项（Facebook、Google 和 Apple）的流行 RP 实现进行了实证分析，并将前 500 站点中的 RP 归类为四种客户端代码模式。受这些 RP 模式的启发，我们设计并实现了一个名为 SSOPrivateEye（SPEye）的浏览器扩展原型，它从涵盖这三个 IdP 的 RP 的 SSO 登录选项中提取权限请求信息并展示给用户。
引用
@article{arxiv.2209.04490,
title = {"Sign in with ... Privacy'': Timely Disclosure of Privacy Differences among Web SSO Login Options},
author = {Srivathsan G. Morkonda and Sonia Chiasson and Paul C. van Oorschot},
journal= {arXiv preprint arXiv:2209.04490},
year = {2024}
}