Instagram hesabını bir servise bağlamak güvenli mi? InstaLens ne yapıyor, ne yapmıyor

Instagram şifreni bir siteye yazman istendiğinde tereddüt etmen doğru. Bu tereddüdü dağıtmaya çalışan bir yazı değil bu; tereddüt yerinde, ve altındaki mantığı paylaşıyorum.

Şifren, hesabın üzerindeki tek anahtar. Onu bir siteye verdiğinde o site senin yapabildiğin her şeyi yapabilir hale geliyor: paylaşım, mesaj, e-posta değiştirme, şifreyi değiştirip seni dışarıda bırakma. Ve şifreyi geri alamazsın — değiştirebilirsin, ama o ana kadar ne olduysa olmuştur. Bu yüzden "şifreni gir" diyen bir kutu, ne kadar düzgün görünürse görünsün, geri alınamaz bir karar istiyor.

Bu yazı InstaLens'in bunu nasıl yaptığını anlatıyor. Rakiplerin nasıl yaptığını anlatmıyor — o araçların bir kısmı hiç giriş istemiyor, bir kısmı istiyor, ve hepsini tek cümleyle tarif etmek yanlış olur.

Şifren bize hiçbir zaman ulaşmıyor

InstaLens'te Instagram şifreni yazacağın bir kutu yok. Aradığın için değil, mimaride yok.

Bir hesap bağladığında olan şu: sana izole bir sanal cihazda çalışan bir tarayıcı açılıyor ve o tarayıcıyı sen sürüyorsun. Ekranda gördüğün, Instagram'ın kendi giriş sayfası. Şifreni oraya yazıyorsun — yani Instagram'a, bize değil. İki faktörlü doğrulaman varsa kodu da orada giriyorsun, çünkü konuştuğun taraf gerçekten Instagram.

Bizim tarafımızda ne olduğunu somutlaştırayım: veritabanımızda Instagram şifresi tutan bir alan yok. Şifreni saklamıyoruz demiyorum — saklayacak bir yerimiz yok, çünkü o veri bize hiç gelmiyor.

Ama elimizde bir şey var, ve o şey bir oturum

Buraya kadarı iyi haber. Şimdi işin diğer yarısı, çünkü bunu atlayan bir güvenlik yazısı okumaya değmez.

Giriş tamamlandığında geriye bir oturum kalıyor — telefonundaki Instagram uygulamasının seni her seferinde yeniden şifre sormadan içeride tutmasını sağlayan şeyin aynısı. O oturum bizde duruyor, çünkü zamanlanmış kontrollerin çalışması için gerekli.

Bunun ne demek olduğunu net söyleyeyim: teknik olarak o oturum, giriş yapmış bir tarayıcının yapabildiklerini yapabilir. Biz onunla yalnızca takipçi ve takip edilen listelerini okuyoruz, belirlediğin sıklıkta ve sıradan bir gezinme hızında. Ama "yalnızca şunu yapıyoruz" bir söz; oturumun teknik kapasitesi bundan geniş, ve bunu bilerek kullanmalısın.

Şifreye göre farkı şu: oturum geri alınabilir. Şifreni verdiğinde geri dönüşü yok. Oturumu istediğin an sonlandırabilirsin ve o an bizim erişimimiz biter — yeniden giriş yapılana kadar cihaz çalışmaz.

Nasıl iptal edeceğin

İki ayrı şey ve karıştırılmaması gerekiyor:

InstaLens'ten kaldırmak. Cihazı sildiğinde cihaz, bağlı işleri ve tuttuğumuz oturum siliniyor. Bizim erişimimiz bitiyor. Bu, Instagram tarafında hesabı çıkış yaptırmıyor — o giriş, sen sonlandırana kadar Instagram'ın listesinde durabilir.

Instagram tarafında sonlandırmak. Instagram, hesabına giriş yapılmış tüm oturumları kendi ayarlarında listeliyor ve her birini oradan kapatabiliyorsun. Bu, bizden bağımsız çalışıyor — bizim onaylamamıza gerek yok, biz haberdar bile olmuyoruz, sadece bir sonraki kontrolde oturumun ölü olduğunu görüyoruz.

İkisinin bağlantısını uygulamanın içinde gösteriyoruz: hem cihaz kartında hem de giriş ekranında, Instagram'ın kendi oturum listesine giden bir bağlantı var. Oraya koymamızın sebebi basit — "istediğin an iptal edebilirsin" cümlesini yazmak kolay, iptal yolunu göstermek onu doğrulanabilir yapıyor.

Kendin karar vermen için

Bir servise hesap bağlamanın sıfır riskli olduğunu söyleyen kimseye inanma, biz de dahil. Doğru soru "risk var mı" değil, "risk ne kadar ve geri alınabilir mi".

Bizim cevabımız: şifre hiç el değiştirmiyor, geriye kalan oturum senin kontrolünde, ve iptal yolu ürünün içinde duruyor. Buna rağmen tereddüt ediyorsan — takip etmeyenleri programsız görmenin yolunu ayrı bir yazıda anlattık, hiçbir yere hesap bağlamadan. Ayda bir merak ediyorsan gerçekten yeterli.