您的位置:主页 > 人脸商务 >Pokémon Go 技术问题尴尬不断:为何要「强夺」Google 帐号的完整权 >

Pokémon Go 技术问题尴尬不断:为何要「强夺」Google 帐号的完整权

2020-06-08作者: 212次阅读

Pokémon Go 技术问题尴尬不断:为何要「强夺」Google 帐号的完整权

《Pokémon Go》是任天堂 Pokémon(官方中译名:精灵宝可梦)系列的最新游戏,由 Niantic Labs 联合开发,也是第一款 Pokémon 手游。不需多说,看到这篇文章的你,多半正在玩或已经下载好了游戏,或是等待正式在当地开启。

但国外玩家发现,《 Pokémon Go》存在严重的帐号安全风险。

游戏提供两种登入方式:Google 或 Pokémon 训练师俱乐部(pokemon.com)。在欧美几乎人人都有 Google 帐号,而之前 pokemon.com 由于技术故障无法接受新使用者注册,因而大部分玩家都在用 Google 帐号登入。

国外玩家 Adam Revee 注意到,使用 Google 帐号登入之后,《Pokémon Go》直接获取了 Google 帐号的「完整帐户许可权」(full access)。Adam Revee 在自己的部落格上记录了这一发现,被 Twitter 上的资讯安全大师 @SwiftOnSecurity 转发,引起了资安界的广泛关注:

我在手机上检查了自己的帐号,发现《Pokémon Go》的确标记为拥有整帐号许可权,相同待遇的只有 Chrome 浏览器。

Pokémon Go 技术问题尴尬不断:为何要「强夺」Google 帐号的完整权

为了重现这个事件,我打开游戏,抓了附近的两只小精灵,等完伺服器同步(存档)的过程,然后打开功能表,登出(sign out)自己的帐号,退出游戏。接下来,我点击上面的 Remove 按钮撤销了「Pokemon Go Release」的许可权。

然后我重新打开游戏,并使用 Google 帐号登入。更严重的问题出现了:输入 Google 帐号→输入密码并确认后,直接进入了游戏的读取介面,并没有弹出一个许可权确认的功能表。

Pokémon Go 技术问题尴尬不断:为何要「强夺」Google 帐号的完整权

一般来说,使用 Google 帐号登入的协力厂商服务,在输入帐号密码之后会出现下图这样的介面,要求你确认协力厂商服务可使用的许可权。

Pokémon Go 技术问题尴尬不断:为何要「强夺」Google 帐号的完整权 以 Medium 和 Soundcloud 举例,前者获取了「电子邮寄地址」和「基本资料资讯」,后者仅需要「离线使用」许可权。这些许可权都需要确认允许才能获取。

我尝试了一下撤销许可权还能不能玩游戏,情况很複杂。有时候能玩,但游戏地图道路读取不出来,只有飘在空中的 Pokéstop 和道场;有时候根本无法载入游戏,或者显示伺服器故障。

为什幺不让用户确认许可权?@SwiftOnSecurity 指出,登入介面的确是 Google 的 OAuth 介面,如假包换。但问题在于 Niantic Labs 可能设置了浏览器自动化,跳过了许可权确认页面,自动帮使用者点了按钮——这是严重的安全事故。

Pokémon Go 技术问题尴尬不断:为何要「强夺」Google 帐号的完整权

另外,协力厂商应用的开发者在设计使用 Google、Facebook、Twitter 或其他更流行的帐号体系登入时,通常应该遵循「最小权限原则」,只申请应用正常运转所必须的许可权。《Pokémon Go》从目前的全部功能来看,并没有获取完整许可权的必要。现在这样一上来就要求完整许可权,还不经确认,比「全家桶」有过之无不及。

Google 的帐号说明页面上有一段这样的描述:

更具体讲,授予一个协力厂商应用「完整帐号许可权」,意味着它可以:

至于由 Niantic Labs 和任天堂旗下 Pokémon Company 这两家还算知名的公司联合开发的游戏,为何出现如此严重的帐号许可权事故,除了粗心大意,恐怕暂无其他解释。前面也有提到,「某些 Google 应用可能具有完整许可权」,或许是 Niantic Labs 从 Google 旗下拆分之后,没有及时更新自己的开发工具,仍然以为自己开发的是「Google 应用程式」吧?

身为架构工程师的 Adam Renee 表示,他并非怀疑 Niantic Labs 会拿着用户 Google 帐号的完整许可权胡作非为。问题在于,Niantic Labs 的资料安全水準如何,在业界并没有公开的资料。更何况现在《Pokémon Go》如此热门,难免有骇客盯上这座资料金矿,谁也无法保证之前发生在网易、CSDN、Yahoo、Target 等公司内的资料洩露事故,不会发生在 Niantic Labs 身上(之前已经有骇客修改游戏的 Android APK 安装包,在游戏里添加恶意程式码。)

目前 Niantic Labs 尚未对此做出回应。

上一篇: 下一篇:

相关阅读:

随机文章

热门文章