Модернизация OpenID и могу ли я доверять, когда речь идет о конфиденциальных данных?

Question

Я подумываю добавить OpenID для наших клиентов в областях администрирования и панели управления ...

1 - Связывание OpenID с существующими учетными записями

Для клиентов, у которых уже есть учетные записи, я думаю, что им нужно будет войти в систему, используя свой существующий номер учетной записи, который мы выдаем, и тогда у меня будет механизм, связывающий их OpenID с этой учетной записью в их области управления учетной записью ( назовите его «Менеджер OpenID» ради аргумента).

В 'OpenID Manager', предполагая, что у пользователя уже есть OpenID, могу ли я аутентифицировать пользователя по его OpenID, а затем связываться с нашим сгенерированным номером учетной записи для будущих входов OpenID (при условии, что они аутентифицировались нормально)?

2 - конфиденциальные данные

Хотя мы не храним полные данные кредитных карт в нашей БД, есть другие конфиденциальные данные, счета, сведения о домене и т. Д. После прочтения этой статьи http://idcorner.org/2007/08/22/the-problems-with-openid/ Я немного осторожен с этой идеей использования OpenID таким образом, каково общее согласие с вами, ребята?

Answer 1

Мне кажется, что многие аргументы против OpenID выдвигаются либо из-за невежества, либо из-за людей с особым желанием.

Например, документ, на который вы ссылаетесь, жалуется, что отождествление себя с URI «бесчеловечно и более чем пугающе». Это законная жалоба или что-то написанное кем-то, кто отчаянно пытается найти повод для жалоб?

Две основные вещи, которые поднимаются, это фишинговые и скомпрометированные учетные записи, и эти аргументы неоднократно перефразировались, трудно кого-то воспринимать всерьез, если они поднимают его снова без каких-либо новых замечаний.

Защита от фишинга зависит от провайдера. Некоторые провайдеры предлагают гораздо лучшую безопасность, чем обычные веб-сайты. Некоторые провайдеры просто предлагают типичное имя пользователя и пароль. В любом случае, если учетная запись взломана, это что-то между пользователем и его провайдером, это не ваша забота. Вы не волнуетесь, что на компьютере конечного пользователя установлен кейлоггер? Это потому, что их локальная безопасность не является вашей ответственностью, даже если она может быть использована для получения доступа к их учетной записи. Аналогично с OpenID - его безопасность не является вашей ответственностью.

Если вы скомпрометировали OpenID, он даст вам доступ к более чем одному веб-сайту. Конечно, но то же самое верно для электронной почты. Просто скажите, что вы забыли свой пароль, и вам прислали новый. Теперь у вас есть доступ ко всем аккаунтам, зарегистрированным на этот адрес электронной почты.

OpenID не хуже статус-кво и во многих случаях значительно лучше, особенно для информированных пользователей. Если вы по-прежнему настороженно относитесь к нему, просто сделайте его необязательным, чтобы его использовали только информированные пользователи.

Answer 2

Я бы разрешил регистрацию нескольких OpenID с определенной учетной записью. Это хорошая возможность, потому что она позволяет пользователям переходить между OpenID в случае необходимости.

---

Тем не менее, ссылка на idcorner поднимает хороший вопрос. Я думаю, что он в значительной степени перевешивает проблему безопасности и делает много идиотских предположений о том, как работают поставщики OpenID, но этот OpenID действительно не предназначен для замены всех форм аутентификации пользователей. Он предназначен для упрощения взаимодействия между пользователями, находящимися за рулем, с сайтом с некоторой формой базовой аутентификации.

• Вы когда-нибудь были в чьем-то блоге, хотите оставить комментарий, но сначала вам нужно пройти через 3-страничную регистрацию? OpenID решает эту проблему.
• Хотите опубликовать быстрый отчет об ошибке на общедоступном трекере, но сначала нужна учетная запись? OpenID для спасения.
• Хотите хранить конфиденциальные конфиденциальные данные в доступной для Интернета форме и предоставлять доступ только тем, кому доверяете? OpenID - это , а не решение.