OpenID провайдеры - что останавливает злонамеренных провайдеров?

Question

Так что мне нравится идея OpenID. Я поддерживаю это на своем сайте, и использую это везде, где это возможно (как здесь!). Но мне не ясно одно.

Сайт, который поддерживает OpenID, в основном принимает любого поставщика OpenID, верно? Как это работает с сайтами, которые хотят уменьшить количество ботов? Что мешает злонамеренному провайдеру OpenID автоматически устанавливать неограниченные идентификаторы ботов?

У меня есть некоторые идеи, и я опубликую их как возможный ответ, но мне было интересно, сможет ли кто-нибудь увидеть что-то очевидное, что я пропустил?

Answer 1

Вы перепутали две разные вещи - идентификацию и авторизацию. Просто потому, что вы знаете, кто кто-то, это не значит, что вы должны автоматически дать им разрешение на что-либо делать. Саймон Уиллисон хорошо описывает это в OpenID не является учетной записью! Более подробное обсуждение белого списка доступно в Социальный белый список с OpenID .

Answer 2

Короткий ответ на ваш вопрос: «Это не так». OpenID намеренно предоставляет только механизм для централизованного сайта аутентификации; Вам решать, каких поставщиков OpenID вы лично считаете приемлемыми. Например, Microsoft недавно решила разрешить использование OpenID на своем сайте Healthvault только от нескольких поставщиков . Компания может принять решение только о том, чтобы разрешить вход в систему OpenID со своей точки доступа, поддерживаемой LDAP, государственное учреждение может принимать только OpenID с сайтов с биометрической поддержкой, а блог может принимать только TypePad из-за их интенсивной проверки спама.

Похоже, что в OpenID много путаницы. Его первоначальная цель состояла в том, чтобы просто предоставить стандартный механизм входа в систему, чтобы, когда мне нужен механизм безопасного входа, я мог выбрать одного или всех провайдеров OpenID, чтобы справиться с этим для меня. Позволить кому-либо где-либо настроить собственного доверенного поставщика OpenID никогда не было целью. Выполнение второго эффективно невозможно - в конце концов, даже при использовании шифрования, нет никаких причин, по которым вы не можете настроить своего собственного провайдера, чтобы безопасно лгать и утверждать, что он аутентифицирует кого угодно. Наличие единого стандартизированного механизма входа в систему само по себе уже является большим шагом вперед.

Answer 3

OpenId не намного больше, чем имя пользователя и пароль, которые пользователь выбирает при регистрации на вашем сайте. Вы не полагаетесь на платформу OpenId для отсеивания ботов; Ваша система регистрации должна все еще делать это.

Answer 4

Обратите внимание, что в отличие от обычных входов "на сайт", OpenID дает вам идентичность, которая потенциально превосходит отдельные сайты. Более того, эта идентичность даже является URI, поэтому ее идеально использовать с RDF для обмена или запроса произвольных метаданных об идентичности.

Вы можете сделать несколько вещей с OpenID, что нельзя сделать с обычным именем пользователя от нового пользователя.

Сначала вы можете выполнить несколько простых операций с белым списком. Если * .bigcorp.example - это OpenID от сотрудников Big Corp, и вы знаете, что Big Corp не спамеры, то вы можете внести эти OpenID в белый список. Это должно хорошо работать на полузакрытых сайтах, возможно, это социальный сайт для нынешних и бывших сотрудников.

Тем не менее, вы можете делать выводы из других мест, в которых использовался определенный OpenID. Предположим, у вас есть карта OpenID с ценностями репутации от Stackoverflow.com. Когда кто-то появляется на вашем веб-форуме с OpenID, вы можете увидеть, имеют ли они достойную репутацию в Stackoverflow, и пропустить CAPTCHA или испытательный срок для этих пользователей.

Answer 5

Насколько я могу судить, OpenID относится только к идентификации, а не к авторизации. Остановка ботов - это вопрос авторизации.

Answer 6

Возможное решение - вы все равно можете попросить новые идентификаторы пройти тест CAPTCHA. Точно так же, как боты могут регистрироваться с поддельными / множественными адресами электронной почты на любом сайте, но также не проходят этап «проверки».

Или нам придется начать поддерживать черные списки провайдеров? Это не очень хорошо работает, учитывая, как легко установить нового провайдера.