Come verificare che le finestre di dialogo di accesso social in-app siano protette?

Non puoi, almeno non prima che gli sviluppatori di sistemi operativi mobili interrompano definizione prioritaria di UX su sicurezza .

Per ora il meglio che puoi fare è assicurarti che l'app che utilizzi provenga da uno sviluppatore legittimo e fidato, e le credenziali che chiedi sono correlate alla funzione dell'app (un'app di foto che richiede le credenziali di Instagram) postare su di esso sembra a posto, ma la stessa app fotografica che richiede le credenziali di Spotify sarebbe più sospettosa). Inoltre, dovresti considerare quel particolare account compromesso dallo sviluppatore dell'app, quindi non dovresti usare quell'account per le informazioni che non desideri vengano visualizzate. Su alcuni siti che non revocano i token OAuth sulle modifiche delle password, una soluzione per impedire futuri accessi non autorizzati (al di fuori del flusso legittimo OAuth) potrebbe modificare la password. Dato che il token OAuth sarebbe ancora valido, la funzionalità legittima dell'app dovrebbe continuare a funzionare, ma i tentativi di accesso furtivi utilizzando la password raccolta non sarebbero più validi. Naturalmente, questo non è a prova di proiettile in quanto un'applicazione davvero dannosa potrebbe probabilmente avere un bot in esecuzione sui loro server che cambia l'e-mail e la password del tuo account nel momento in cui lo inserisci, impedendoti di accedere al tuo account.

A lungo termine, la soluzione sarebbe quella di esercitare pressione sugli sviluppatori di sistemi operativi mobili per interrompere le assurdità descritte nel mio primo collegamento o almeno fornire un'alternativa WebView sicura controllata dal sistema operativo che le app possono utilizzare per richiedere le credenziali. Che WebView dovrebbe dimostrare all'utente che è effettivamente controllato dal sistema operativo (facendo qualcosa che le normali app non possono, come l'intercettazione di un pulsante home press) e mostra chiaramente l'URL richiesto dall'app in modo che non possa tentare di visualizzare un sito di phishing.

Questo mi è appena successo. Ciò che ho fatto non è attendibile e seguire questi passaggi:

1. Verifica i dispositivi collegati nel mio Facebook e ricevo le notifiche per i nuovi dispositivi.
2. Cambia la mia password di Facebook in qualcosa di casuale che mi ha dato il mio gestore di password.
3. Digita tale password nella vista in-app
4. Cambia nuovamente la mia password di Facebook in un'altra cosa. NON effettuare il logout da tutti i dispositivi quando richiesto.
5. Controlla tutto è in ordine.

In questo modo, so per certo che sono l'unico ad essere connesso in quel momento e che nessuno ha una password di Facebook valida.

Tuttavia, è un PITA poiché la stessa app potrebbe chiedermi di confermare l'identità in futuro e fare ogni volta questa procedura è davvero scomodo .