Propojené účty a aplikace třetích stran: co mají povoleno

Propojené účty a aplikace třetích stran nedostávají vaše heslo, ale vlastní oprávnění s určitým rozsahem – a to platí, dokud ho sami neodeberete. Změna hesla ho ve většině případů nezruší. Seznam propojení proto patří k věcem, které je dobré jednou za čas projít: každé nepoužívané propojení je zbytečně otevřené okno do účtu a zavřít ho trvá pár vteřin.

Jak funguje přihlášení přes herní platformu

Tlačítko pro přihlášení účtem Steamu, Epic Games, Xboxu nebo Discordu na cizím webu spouští vždy stejný průběh. Web vás přesměruje na stránku platformy, tam se přihlásíte a potvrdíte, co má web dostat, a platforma mu vydá přístupový token. Heslo web nevidí. Většina služeb k tomu používá standard OAuth 2.0; Steam se u cizích webů prokazuje přes OpenID a předává v zásadě jen identifikátor veřejného profilu.

Bezpečnost celého postupu stojí na jediném okamžiku: heslo zadáváte na doméně platformy, ne na webu, který o přihlášení žádá. Dívala bych se proto do adresního řádku pokaždé, když se přihlašovací okno otevře po kliknutí na cizí stránce. Pomůže i správce hesel, který údaje nabídne jen na adrese, ke které je má uložené; víc o tom píšu v článku o tom, jak správce hesel hlídá správnou doménu.

Rozsah oprávnění na obrazovce se souhlasem

Před vydáním tokenu platforma ukáže, o co aplikace žádá. Čtení veřejného profilu a přezdívky je to nejmenší. Výš stojí přístup k e-mailové adrese, k seznamu přátel nebo k seznamu serverů. Nejvýš jsou oprávnění k zápisu – posílání zpráv vaším jménem, připojování na servery, úpravy nastavení kanálu.

Obrazovku se souhlasem považuji za nejdůležitější místo celého procesu, a přitom se odklikává bez čtení. Jednoduché měřítko zní, jestli žádost odpovídá tomu, co nástroj dělá. Web se statistikami zápasů potřebuje číst profil a herní historii. Když chce totéž co plnohodnotný klient včetně zápisu, je namístě souhlas nedat a poohlédnout se po jiném nástroji.

Propojení herních účtů s Twitchem a Discordem

Vedle přihlašování existuje trvalé propojení dvou účtů. Discord umí u profilu zobrazit připojený účet Steamu, Xboxu nebo PlayStation a ukazovat přátelům, co právě hrajete. Twitch se propojuje s účty vydavatelů kvůli odměnám za sledování, takzvaným Drops, které se připisují na herní účet. Účet Epic Games zase slouží jako spojovací článek pro postup ve hře mezi počítačem a konzolemi.

Taková propojení jsou užitečná, jen mají dvě vlastnosti, na které se zapomíná. Jsou vidět: připojený účet na profilu prozradí vaši přezdívku na další platformě každému, kdo profil otevře, pokud zobrazení nevypnete. A vážou se na konkrétní účet, takže propojení konzolového účtu s cizím nebo dávno opuštěným účtem vydavatele se později špatně rozplétá a některé platformy povolují změnu jen jednou za delší dobu. Před potvrzením bych si proto ověřila, do kterého účtu jsem v tu chvíli v prohlížeči přihlášená.

Kdo vysílá, mívá propojení ještě víc, protože k účtu na Twitchi se připojují upozornění, chatovací boti a nástroje pro překryvy obrazu. Co všechno k vysílání patří, shrnuje přehled o tom, jakou techniku streamování her vyžaduje.

Pravidelná revize a odebrání nepoužívaných propojení

Každá platforma má seznam vydaných oprávnění v nastavení účtu, jen pod jiným názvem. Na Discordu jsou to položky Autorizované aplikace a Propojení, na Twitchi stránka Propojení, v účtu Epic Games sekce Aplikace a účty. Na Steamu stojí za pohled i stránka s klíčem k webovému rozhraní API: pokud jste si klíč jako vývojář sami nevytvářeli, žádný tam být nemá.

Pravidlo pro úklid je jednoduché. Co nepoznáváte nebo jste půl roku nepoužili, odeberte. Nic se tím nerozbije, potřebný nástroj si o souhlas řekne znovu při příštím použití. Rozumný rytmus je podle mě dvakrát do roka a vždy po odinstalování hry nebo nástroje, kvůli kterému propojení vzniklo.

Aktivní relace a odhlášení zařízení na dálku

Relace je přihlášení, které si zařízení pamatuje. Platformy vedou jejich přehled s typem zařízení, přibližným místem a časem poslední aktivity. Steam má v nastavení Steam Guard volbu, která zruší autorizaci všech ostatních zařízení najednou, Discord vypisuje zařízení jednotlivě a umožňuje odhlásit kterékoli z nich, a podobnou volbu pro odhlášení všude mají i konzolové účty.

Použijte ji po prodeji nebo darování počítače či konzole, po přihlášení na cizím stroji a vždy, když v seznamu najdete položku, kterou neumíte přiřadit. V posledním případě změňte nejdřív heslo a teprve potom odhlaste všechna zařízení, jinak se neznámé zařízení starým heslem přihlásí znovu.

Čtvrthodinová kontrola, kterou lze udělat hned

Otevřete nastavení účtu na platformě, kterou používáte nejvíc, a projděte tři seznamy: autorizované aplikace, propojené účty a přihlášená zařízení. Odeberte vše neznámé a nepoužívané a totéž zopakujte u Discordu a Twitche. Revize propojení je čtvrtá vrstva ochrany vedle hesel, druhého faktoru a obnovy; jak spolu souvisejí, popisuje přehled o tom, jak postavit zabezpečení herního účtu.

Zdroje

• IETF, RFC 6749 – The OAuth 2.0 Authorization Framework
• Valve, Steamworks Documentation – přihlášení přes Steam pomocí OpenID a Web API
• Discord, Developer Documentation – OAuth2 a rozsahy oprávnění
• Twitch, nápověda – propojení účtů a odměny Drops
• Epic Games, nápověda k účtu – propojené účty a aplikace