0

Na documentação diz o seguinte:

Tokens are passwords Keep in mind that the consumer key & secret, bearer token credentials, and the bearer token itself grant access to make requests on behalf of an application. These values should be considered as sensitive as passwords, and must not be shared or distributed to untrusted parties.

Traduzindo isto:

Tokens são senhas Tenha em mente que a chave do consumidor e o segredo, as credenciais token do portador eo token do portador em si permitem o acesso para fazer solicitações em nome de um aplicativo. Esses valores devem ser considerados sensíveis como senhas e não devem ser compartilhados ou distribuídos para partes não confiáveis.

Fonte: https://dev.twitter.com/oauth/application-only?lang=ko

Estou querendo que o usuário ao invés de clicar no botão Entrar com o Twitter usando oAuth, ele preencha um formulário com seus dados do Twitter, usuário e senha.

OBS: Não quero roubar informações, pois não é possível...

Com tudo, se o Token são senhas, posso recuperar o screen_name e usar um crypt, não sei se o Twitter usa sha1, pra eu pode recuperar a senha também. Se alguém souber, informe aqui.

Fonte: https://dev.twitter.com/overview/api/users

Estou correto ou errado?

0

3 Respostas 3

5

O que a documentação quer é que as credenciais (token, bearer token, secret key...) devem ser mantido apenas com você, em segurança. Uma vez que se obter essas informações será capaz de fazer requisições em nome do seu aplicativo do Twitter.

Qualquer um que conseguir sua chave privada (API Secret) poderá autenticar os usuários se passando por sua aplicação. Bem como que qualquer um que tiver os tokens/bearer token também poderá utiliza-los como quiser, em nome do seu aplicativo. Por exemplo, poderão postar tweets como se o seu aplicativo estivesse postado, sem que você de fato tenha feito isso.

Por esse motivo essas informações não podem ser compartilhada ou distribuídas, assim se mantendo apenas com você.


Estou querendo que o usuário ao invés de clicar no botão Entrar com o Twitter usando oAuth, ele preencha um formulário com seus dados do Twitter, usuário e senha.

A API oficial do Twitter, a pública, apenas permite que utilize o oAuth. Ele foi construído justamente para que os usuários não informem suas credenciais para terceiros.

Não há nenhuma maneira oficial de fazer o que você quer. O que existe são gambiarras. Que é utilizar a API privada, aquela que twitter utiliza. Salvo engano já havia informado como pode fazer isso. Você pode fazer uma engenharia reversa no aplicativo móvel do twitter, assim como monitorar as requisições feita pelo aplicativo.

No website do Twitter você pode simplesmente monitorar o tráfego (os navegadores já possuem este recursos) e então saberá os endpoints utilizados.

Você pode tentar procurar por alguém que já tenha feito esse trabalho, inclusive poderá achar pessoas que já disponibilizaram tais informações publicamente ou até mesmo bibliotecas em alguma linguagem que utiliza a API privada.

Uma vez com a posse das senhas você poderá obter o cookie da sessão, essa é quase um "Token", porém da API privada. Ela normalmente é armazenada em cookies (ou em vários cookies), no caso da API do aplicativo móvel talvez esteja criptografado, exigindo alguma engenharia reversa para obter as chaves.


OBS: Não quero roubar informações, pois não é possível...

Ora, se você pede a senha de outras pessoas... A frase "Não quero roubar informações, pois não é possível..." é um erro. Não só você tem a capacidade de "roubar" as credenciais, como outras pessoas podem "roubar o seu roubo".

Uma vez que você pede e recebe as senhas do Twitter você terá as senhas, você tem acesso a tais credenciais. Mesmo que utilize HTTPS, as informações são descriptografadas em seu lado, na melhor das hipóteses, e serão armazenados em "alguma memoria", afim você tem acesso.


Com tudo, se o Token são senhas, posso recuperar o screen_name e usar um crypt, não sei se o Twitter usa sha1, pra eu pode recuperar a senha também. Se alguém souber, informe aqui.

Sinceramente não entendi o que quer dizer. O Token é aleatório, gerado apatir da sua chave privada e pública para o usuário que autorizou a sua aplicação. Elas são como uma senha no ponto de vista de seu sigilo, uma vez que tanto sua senha e tanto um Token não devem ser compartilhados, e assim como ambas concedem acesso a fazer interações em seu nome.

Salvo engano o oAuth2 não utiliza nenhuma criptografia no Token em si, somente no seu tráfego, isto é feito para tornar as respostas mais rápidas e até por isso não exige que você criptografe qualquer Token.

Se você quiser manter o Token de maneira extremamente segura o máximo que pode fazer, ao meu ver, é utilizar uma criptografia assimétrica e usar algum HSM para armazenar as chaves.

12
  • 2
    Excelente @Inkeliz, achei que o token era a senha do usuário, e sim foi contraditório eu dizer que não quero roubar informações, mas realmente não quero, vou explicar o que eu quero fazer... Quero fazer um site com troca de seguidores, semelhante a este... twitterlike.com.br, se você puder me responder... (com o botão "Entrar com o Twitter") utilizando o oAuth sem que o usuário entre com suas credenciais é possível? Tenho intermediário em PHP e Javascript, se você disser que é possível vou tenta-lo fazer, caso contrário jogo tudo na lixeira... Obrigado pela resposta bem elaborada...
    – user76271
    Commented 29/05/2017 às 8:51
  • 1
    Ótima resposta, mas a melhor parte, para mim, foi essa: Não só você tem a capacidade de "roubar" as credenciais, como outras pessoas podem "roubar o seu roubo".
    – Randrade
    Commented 29/05/2017 às 12:09
  • 1
    Fazer isso é simples, é possível, tanto que já fizeram. Utilizar a API pública (essa do "Entrar com o Twitter") é possível, porém é muito mais fácil o Twitter bloquear o aplicativo, assim você irá perder todos os usuários para a "troca de seguidores", exigindo que todos se conectem num novo aplicativo. Já com a API privada o máximo que podem fazer é banir o seu IP, logo você pode usar vários proxies.
    – Inkeliz
    Commented 29/05/2017 às 12:51
  • 1
    A questão do "roubo" vem justamente do "Não se preocupe não temos acesso a sua senha" desde que me prove o contrário, eles tem acesso a senha, o máximo que podem fazer é não armazena-la de maneira persistente. Mas vão armazenar a sessão, que da na praticamente na mesma.
    – Inkeliz
    Commented 29/05/2017 às 12:57
  • 1
    A API Privada e Pública se refere à API em si, não as chaves. upwork.com/hiring/development/…
    – Inkeliz
    Commented 29/05/2017 às 16:17
0

Sim Tokens são senhas conforme diz a documentação da API do Twitter, ele usa Base64 com codificador se eu não estou enganado.

Para transferir pro formulário, você não deve usar oAuth pois ele gera um Token que é passado por $_GET, terás que descobrir outra forma de validar seu formulário, lembrando que vai ter que fazer por exemplo:

curl_setopt($ch, CURLOPT_URL, "http://www.google.com/");

Esta é minha opinião, e estou quase certo que estou correto.

2
  • Será? o que devo estudar alem de json e a documentação, não vejo lógica em não usar o oAuth.
    – user76271
    Commented 28/05/2017 às 21:27
  • 1
    Como eu te disse, terás que descobrir outras formas de autenticar o usuário sem usar oAuth.
    – user77394
    Commented 28/05/2017 às 21:28
0

Aperte f12 na página de login do Twitter, vai em network, aperte f5 pronto verás algumas informações necessárias.

Você deve fazer log-in para responder a esta pergunta.