В чем преимущество использования ТОЛЬКО OpenID-аутентификации на сайте?

Question

Из моего опыта работы с OpenID я вижу ряд существенных недостатков:

Добавляет единичную точку отказа на сайт
Это не ошибка, которая может быть исправлена ​​сайтом, даже если обнаружена. Если поставщик OpenID не работает в течение трех дней, какие ресурсы есть у сайта, чтобы позволить его пользователям входить и получать доступ к информации, которой они владеют?

Переносит пользователя на контент других сайтов и каждый раз, когда они заходят на ваш сайт
Даже если у провайдера OpenID нет ошибки, пользователь перенаправляется на свой сайт для входа в систему. Страница входа содержит контент и ссылки. Таким образом, существует вероятность того, что пользователь будет фактически удален с сайта, чтобы пройти по интернет-кроличьей норе.

Зачем мне отправлять своих пользователей на сайт другой компании?
[Примечание: мой провайдер больше не делает этого и, похоже, исправил эту проблему (пока).]

Добавляет нетривиальное количество времени к регистрации
Чтобы зарегистрироваться на сайте, новый пользователь вынужден прочитать новый стандарт, выбрать поставщика и зарегистрироваться. Стандарты - это то, с чем должны согласиться технические специалисты, чтобы пользовательский опыт был легким. Это не то, что нужно навязывать пользователям.

Это мечта Фишера
OpenID невероятно небезопасен, и кража идентификатора человека при входе в систему очень проста. [взято из ответа Дэвида Арно ниже]

---

При всех минусах, один минус - дать пользователям меньше логинов в Интернете. Если сайт имеет подписку на OpenID, его могут использовать пользователи, которым нужна эта функция.

Я хотел бы понять:
Какую выгоду получает сайт от использования OpenID обязательного ?

Answer 1

Преимущество использования OpenID в обязательном порядке заключается в том, что не нужно писать код входа в систему для веб-сайта (помимо интеграции OpenID) и не нужно предпринимать никаких мер предосторожности при хранении паролей пользователей и т. Д.

Отсутствие собственного кода входа также означает, что вам не придется сталкиваться со многими проблемами поддержки, такими как сброс утерянных паролей и т. Д.

Конечно, большинство ваших недостатков верны, поэтому я думаю, что это компромисс.

Что меня удивляет, так это то, что больше не существует сайтов, образующих тесные отношения с конкретным поставщиком OpenID для простой фазы регистрации учетной записи - то есть своего рода «Вы можете использовать любой OpenID, который вам нравится, но вы также можете создать его прямо сейчас» введя имя пользователя, пароль и т. д. страницу входа в систему, которая автоматически создает новую учетную запись для выбранного поставщика.

Answer 2

Это хороший способ передать часть вашей инфраструктуры на аутсорсинг. Вам не нужно беспокоиться о потерянных паролях и т. Д., Кто-то другой сделает это за вас.

Я не уверен, что использовал бы это исключительно, все же. Я недостаточно использовал OpenID, чтобы полностью ему доверять, и процесс регистрации необходимо упростить, пока> 90% пользователей не получат OpenID.

Answer 3

Добавляет критическую точку отказа на сайте

Третья наивысшая идея в пользовательском счете для Stackoverflow - разрешить изменение поставщика OpenID. И в комментариях есть предложение разрешить ассоциировать больше, чем на OpenID. На сайтах, где несколько учетных записей OpenID могут быть связаны с учетной записью, если ваш обычный поставщик OpenID не работает, вы все равно можете войти в систему с другим поставщиком (при условии, что вы уже связали его с сайтом).

Кроме того, это только критическая точка отказа для пользователей провайдера OpenID, который не работает. Все остальные пользователи других поставщиков OpenID могут продолжать регистрировать его. Со временем можно ожидать, что пользователи перейдут на самых надежных поставщиков.

Переносит пользователя на контент других сайтов и каждый раз, когда они заходят на ваш сайт

Если вы настроили своего провайдера OpenID так, чтобы он всегда доверял сайту (или потребителю OpenID в номенклатуре), и вы уже вошли в свой провайдер OpenID, то они перенаправят вас обратно на сайт, даже если вы не увидите свой OpenID сайт провайдеров.

Добавляет не-пробный период времени к регистрации

В настоящее время это может быть правдой, но, как сказал andyuk, «это становится менее серьезной проблемой, чем больше сайтов поддерживают OpenID». Я ожидаю, что через несколько лет большинство пользователей уже получат OpenID и узнают, что это такое.

Answer 4

Одно из больших преимуществ использования OpenID-only с инженерной точки зрения состоит в том, что абстрагирование части проверки подлинности учетных данных позволяет пользователям выбирать методы проверки подлинности, которые являются гораздо более сложными, чем те, которые вы бы потрудились создать для своего сайта. Да, некоторые провайдеры OpenID легко фишируются. С другой стороны, другие пользователи OpenID входят в систему с помощью информационных карт, аппаратных токенов или проверки телефона, и это учетные данные, которые не могут быть захвачены и воспроизведены фишером.

Как сказал Гейб Вахоб :

Люди, которые хотят внедрять инновации в методы аутентификации [...], НЕ обязательно должны быть теми же людьми, которые вводят инновации в предоставлении услуг в Интернете (любой из миллиона людей, работающих под управлением Mediawiki, Drupal и т. Д.). Именно «разделение» инноваций в сфере аутентификации и сервисов - вот что ценно в OpenID.

Таким образом, используя OpenID, вы можете предложить своим пользователям более надежные методы аутентификации. Абстракция позволяет вам реализовать один интерфейс, а затем вы можете выбрать любого провайдера для работы, независимо от того, используют ли они восьмисимвольные пароли в текстовых имплантах или в ответных вызовах.

Answer 5

Список недостатков пропускает самый очевидный: это мечта фишера. OpenID невероятно небезопасен, и кража идентификатора человека при входе в систему очень проста.

Мэтт Шеппард не может не ответить на вопрос: хотя преимущество OpenID заключается в том, что он создает меньше хлопот для создателя сайта, поскольку не требуется обрабатывать имена пользователей и пароли, а также не требуется код создания учетной записи пользователя.

Answer 6

Из моего опыта работы с OpenID я вижу ряд существенных положительных сторон:

Если вы решите войти в систему с вашим доверенным поставщиком OpenID, например. В Verisign PIP + VIP вы можете воспользоваться преимуществами внешних механизмов аутентификации SecureID. Это следует рассматривать как главное преимущество, которое перевешивает ВСЕХ других. Вы больше не доверяете какой-либо дрянной аутентификации на основе форм на сайте, к которому вы обращаетесь, вы доверяете Verisign VIP или какому-либо выбору провайдера OpenID.

интернет кроличья нора? Похоже, плохая реализация, и я, например, не знаю, что вы имеете в виду.

Вы не можете легко украсть детали аутентификации, их можно сделать ближе к невозможному, чем то, что у нас уже есть! Вы можете заставить меня думать, что я связываюсь со своим провайдером, но Verisign, например, может запретить или принять перенаправления. Я также рассматриваю эти фишинговые проблемы как нечто тривиальное, особенно если вы сравните их с преимуществами механизмов внешней аутентификации, которые вы можете получить через своего провайдера аутентификации OpenID. Так, скажем, вы разобрали детали ключа RSA один раз, в следующий раз он будет недействительным или, может быть, просто бесполезным, если вы скажете использовать сертификат браузера.

В заключение, OpenID - это всего лишь эволюция существующей системы, адрес электронной почты для проверки. Если ваша учетная запись электронной почты является вашей текущей единой точкой отказа, тогда да, ваш OpenID может быть вашей новой единой точкой отказа в случае, когда OpenID, которым вы управляете, больше не находится под вашим контролем. Поэтому, если вы доверяете только своему почтовому серверу, просто разместите свой собственный URL OpenID. Если вы доверяете Gmail, используйте URL-адрес Gmail для своего OpenID, поскольку по тому же признаку вы уже доверяете Gmail в качестве единого входа, поскольку ваша учетная запись Gmail может в конечном итоге получить пароли вашей учетной записи.

Это не сложно, но я вижу, что некоторые люди могут испытывать трудности с пониманием основных концепций механизмов аутентификации. Если я МОГУ войти с моей картой SecureID (через моего провайдера OpenID) на сайт, на котором у меня есть учетная запись, я БУДУ. Так что, если это был единственный вариант, я возьму его!

Answer 7

Как обсуждалось в одном из подкастов, он добавляет барьер для входа в странника, задаваясь вопросом, может ли это быть, где они должны разместить свой Yahoo! Ответы на вопрос.

Это несколько элитарно, но, учитывая особую направленность этого веб-сайта, вполне приемлемо отвергнуть любого, кто не может разобраться в процессе Open ID, и любой, у кого действительно есть реальный вопрос, на который им нужно ответить, может быть обеспокоен работать через любые легкие трудности.

Answer 8

Как веб-разработчик, я большой поклонник идеи OpenID. Написание кода авторизации - это боль в заднице. Как веб-пользователь, я большой поклонник OpenID - для некритических видов использования, таких как SO, форумы и т. Д. - потому что, когда у вас есть идентификатор, это очень простой способ присоединиться к сайту.

Я думаю, что за исключением нескольких исключений, таких как сообщество разработчиков, в настоящее время нельзя использовать только OpenID. «Средний» веб-пользователь (что бы это ни значило) не понимает этого. Тем не менее, его продвижение на таком сайте повышает осведомленность разработчиков, и идея в конечном итоге просачивается. Поскольку OpenID появляется на все большем и большем количестве сайтов, люди смотрят на него, понимают, что он есть, а затем начинают его использовать. Для того, чтобы OpenID - это отличная идея - завоевать популярность, должна быть критическая масса пользователей и сайтов, поддерживающих его.

В конце концов, это будет просто «так, как есть», и мы будем удивляться, почему мы когда-либо создавали код аутентификации для каждого сайта, который мы создали, или почему мы создавали уникальную идентичность везде, где бы мы ни были в Интернете

Answer 9

Это побуждает пользователей зарегистрироваться в OpenID, узнать больше об этом и, надеюсь, самим проповедовать его.

Переполнение стека доказывает, что может работать только поддержка OpenID.

«Добавляет критическую точку отказа на сайт»

В случае, если поставщик OpenID не работает, на сайте должен быть механизм, позволяющий пользователям входить в систему и добавлять / изменять поставщиков OpenID. Возможно, сайт может отправить по электронной почте временную ссылку, чтобы обойти систему безопасности, чтобы пользователи могли получить доступ к своей учетной записи.

«Переносит пользователей на контент других сайтов и каждый раз, когда они заходят на ваш сайт»

Мой поставщик OpenID позволяет мне доверять определенному веб-сайту, поэтому мне даже не нужно просматривать их веб-сайт.

"Добавляет не-пробный период времени к регистрации"

Это становится меньше проблемой, чем больше сайтов поддерживают OpenID.

Answer 10

OpenID может быть величайшей вещью со времен нарезанного хлеба, но мне не дали повода доверять «им» моей личности - кроме Джеффа Этвуда / Джоэла Спольски, который заставил меня сделать это, чтобы здесь жаловаться на это; )