Názory k článku Přihlašování přes OpenID? Už dávno ne. Tady vládne Facebook a Google

Přihlašování přes FB do eshopů a jinde je super. Kromě toho, že stačí přijít o jedno heslo aby mohl vzniknout celkem slušný problém, tak z FB člověk nebude moct ani nikdy odejít, pokud na těch dalších webech bude mít účet už nějakou hodnotu. Navíc FB ví opět více (kdy a kam chodíte). OpenID alespoň řeší to šmírování a závislost na dalším subjektu (pokud si udělám ověření sám), ale stejně se mi ani to nelíbí, používám KeePass a generovaná hesla pro každý web jiná.

Problém je, že udělat OpenID server je poměrně náročné. Chtělo by to aby si běžní uživatelé mohli vytvářet svoje OpenID servery.
Také by bylo fajn mít nějaké webové nástroje pro práci s údaji v mozille(firefox) sync - aby se k datům dalo dostat i z veřejného PC který má jiný prohlížeč než od mozilly.

V takovem pripade jsou knicemu jakekoli openid servery, protoze nic nezarucuji. Nebo mate snad pocit, ze vam fuckbook garantuje ze franta vopicka je fakt vopicka a ne kralik?

není to obtížné, naopak velmi jednoduché: do hlavičky svého webu přidáte řádek delegující ověření jinam.

V důsledku vy používáte svou identitu, o ověření se stará někdo třetí a pokud vám přestane vyhovovat, snadno si to nasměrujete zase jinam.

BĚŽNÍ uživatelé si nikdy žádné OpenID ani jiné servery instalovat nebudou. To by pak už totiž nebyli BĚŽNÝMI uživateli. :-)

Běžnému uživateli stačí běžný stabilní webhosting, v lepším případě vlastní doména - OpenID identitu si deleguje pomocí pár řádků v XHTML na nějakého poskytovatele → má vlastní stabilní ID a nemusí si provozovat server. Když mu provozovatel přestane vyhovovat, jednoduše delegování přesměruje jinam.

Souhlas, generuju heslo pro kazdy web extra, stejne jako login a nekdy i alias mailu (podle toho, jak moc duveryhodny mi web prijde)... nevidim v tom zadnej problem, hesla si samo nepamatuju, na to mam uloziste.

Jedinej problem sou weby, ktery trpej neschopnosti tvurce a omezujou znaky pouzitelne do hesla ...

A jaké supercitlivé údaje těm webům sdělujete, že používáte takové "FBI like" security opatření?

Všechny.

Minimalizuju skody zpusobene tim, az se databaze ocitne verejne ke stazeni - a ne, opravdu neni otazka zda, ale pouze kdy.

A pak narozdil od retardovane vetsiny nemusim resit zmenu hesel a mailu u bambilionu sluzeb, ktery si uz davno nepamatuju.

Přihlášení do eshopu není z pohledu bezpečnosti příliš citlivé místo . Rozumný člověk eshopu svou platební kartu nesděluje (platí se přes externí platební brány) a nic jiného k ukradení v těch účtech není. Hrozit může maximálně následný spam. Takže bych to tak nedramatizoval.

Jasne, mail, adresa ... to nic, ono to prejde ... presne v okamziku kdy bude denne schranka plna ruznych uzasnych nabidek na zaklade souhlasu ...

Cislo karty je to posledni co me zajima, tu zrusim lusknutim prstu.

Na spam je tu antispam gateway a adresu lze zjistit i jinak. Plati jedno pravidlo. Security opatreni by nemela byt vic obtezujici nez pripadna situace, ktere se snazi zabranit. Vas babylon hesel a uctu to nesplnuje.

Ale splňuje.

Co třeba (IMHO ne tak úplně nepravděpodobná) situace, kdy si některý provozovatel webu trapně ukládá můj login a heslo v čitelné podobě? Pak budu fakt skákat radostí do stropu až mu někdo hackne web (nebo až zneuznanej zaměstnanec sebere databázi) a každý bude mít najednou přístup do všech ostatních služeb kde jsem stejný login a heslo použil.

Ne, díky. Myslím že generování hesel ke každému serveru zvlášť je mnohem lepší varianta. A že by mě to obtěžovalo nebo mi to komplikovalo život, to se taky říct nedá.

Možná to beru trochu z jiného pohledu než je obvyklé: když někdo zneužije moji platební kartu, mám určitou šanci to stopnout a vyreklamovat. U zneužitého loginu a hesla jsou ty možnosti horší :)

Autor zřejmě nedočetl odkazovaný článek až do konce a dělá v titulku trochu náhlené závěry. Jeho omyl spočívá v tom, že míchá služby (Facebook, Google, ...) a protokoly (OpenID, OAuth, ...). V závěru článku se píše: "These networks use different protocols under the hood, such as OpenID, OAuth, hybrids and proprietary technologies.". Např. Google pro své přihlašování nabízí hned několik protokolů včetně OpenID. Jelikož detailnější strukturu článěk nenabízí, je dost možné, že velká část přihlášení zobrazovaných v grafech je právě přes OpenID.

Sice nemám CAE, ale přijde mi, že se odkazovaný článek vůči české interpretaci trochu liší, hlavně co se týče rozdělení na social plugin vs protocol/layer.

Jde o to, že sociální pluginy lze chápat jako jakousi značku dané funkce pro přihlášení a tím kromě zrychlení registrace/přih­lášení zvyšují důvěryhodnosti a řekněme i nějakou úroveň komformity uživatele. To jestli použiji Facebook, G+, Twitter či Linkedin souvisí spíše s tím, jak moc je tomu nakloněná daná cílová skupina (aneb nebudu na svém eshopu propagovat "linkedin connect", pokud vím, že v mém bizzu se social točí kolem Facebooku) a nevypovídá to nijak o úspěšnosti protokolu jako je OpenID, Oauth, ... Facebook Connect mohu vystavět na/s Oauth a z tohohle pohledu by bylo spíše zajímavější vidět, kolik z těch % použití zaujímá protocol Oauth či jiný vzhledem k danému sociálnímu pluginu + komparace obou protokolů OpenID a Oauth.

Samotná zde diskutovaná bezpečnost je dle mého jen o nastavení vhodných pravidel. V zásadě je asi trochu naivní spoléhat se na primárně zábavní sociální síť i z pohledu nějaké bezpečnosti (a to i vzhledem k minulosti FB a uníků či hacknutých účtů). Já (a nejsem sám), pokud využívám FB connect pro zalogování, je to v zásadě jen u služeb, kde očekávám nějaká bezpečnostní či osobní rizika (například SPAM). Na FB jako takovém mám SPAM email a tam litají všechny tyto nekalosti i s notifikacemi z FB (přestože pravidelně každý měsíc opakovaně ruším jejich zasílání). Nemusím řešit přihlašování do několika služeb a pokud dojde k nějaké bezpečnostní chybě, moc mne to nebolí + registrace do jiné služby mne moc nestojí času. Problém s údaji o kreditních kártách je trochu přehnaný - platební i kreditní karty se u nás ukládají na provozovateli brány, nikoliv eshopu. Dávat svoji kreditní kartu do nějaké sociální či entertainment sítě je prakticky cesta do pekel. To je ale individuální otázka priorit u každého.