Vlákno názorů k článku Přihlašování přes OpenID? Už dávno ne. Tady vládne Facebook a Google od volani.webnode.cz - Problém je, že udělat OpenID server je poměrně...

Problém je, že udělat OpenID server je poměrně náročné. Chtělo by to aby si běžní uživatelé mohli vytvářet svoje OpenID servery.
Také by bylo fajn mít nějaké webové nástroje pro práci s údaji v mozille(firefox) sync - aby se k datům dalo dostat i z veřejného PC který má jiný prohlížeč než od mozilly.

není to obtížné, naopak velmi jednoduché: do hlavičky svého webu přidáte řádek delegující ověření jinam.

V důsledku vy používáte svou identitu, o ověření se stará někdo třetí a pokud vám přestane vyhovovat, snadno si to nasměrujete zase jinam.

BĚŽNÍ uživatelé si nikdy žádné OpenID ani jiné servery instalovat nebudou. To by pak už totiž nebyli BĚŽNÝMI uživateli. :-)

A jaké supercitlivé údaje těm webům sdělujete, že používáte takové "FBI like" security opatření?

Všechny.

Na spam je tu antispam gateway a adresu lze zjistit i jinak. Plati jedno pravidlo. Security opatreni by nemela byt vic obtezujici nez pripadna situace, ktere se snazi zabranit. Vas babylon hesel a uctu to nesplnuje.

Pristupy na web je treba z pohledu bezpecnosti klasifikovat podle citlivosti ulozenych dat do dvou stupnu - s minimalnim rizikem (90% webu), se zvysenym rizikem. U tech prvnich prolomeni uctu neznamena zadne vyznamne riziko a nema cenu u nich aplikovat jakakoliv extenzivni security opatreni.

"hesla vyplnuje prohlizec/aplikace uloziste/"

A až někdo prolomí master password, jste na tom hůře než v případě unifikovaného účtu a hesla. V tomto případě útočník totiž zjistí nejen heslo k jednomu webu, ale ke všem webům.V případě unifikovaného hesla a účtu se v případě prolomení účtu na jednom webu adresy ostatních webů nedoví (neví kde jinde máte účet).

Vážně nevím, proč by bylo vhodné ve své podstatě vlastně anonymní účty na diskusních fórech jakkoliv chránit.

To by se ten nekdo nejdriv musel jeste dostat k tem datum ... coz znamena ziskani pristupu k disku .... a vazne bych chtel videt, jak ten nekdo lame truecrypt, na kterem ta data jsou.

Zjistit kde jinde se pouziva stejny ucet je naprosto trivialni - co hodinu muzu otestova miliony webu. A taky se to deje. Navic prevazne utocnika zajima par vetsich sluzeb - jako google, fuckbook a dalsi podobne.

Ale splňuje.

Co třeba (IMHO ne tak úplně nepravděpodobná) situace, kdy si některý provozovatel webu trapně ukládá můj login a heslo v čitelné podobě? Pak budu fakt skákat radostí do stropu až mu někdo hackne web (nebo až zneuznanej zaměstnanec sebere databázi) a každý bude mít najednou přístup do všech ostatních služeb kde jsem stejný login a heslo použil.

Ne, díky. Myslím že generování hesel ke každému serveru zvlášť je mnohem lepší varianta. A že by mě to obtěžovalo nebo mi to komplikovalo život, to se taky říct nedá.

Možná to beru trochu z jiného pohledu než je obvyklé: když někdo zneužije moji platební kartu, mám určitou šanci to stopnout a vyreklamovat. U zneužitého loginu a hesla jsou ty možnosti horší :)

Ale prdlajs, unikatni hesla nejsou absolutne zadnej problem z hlediska pohodli - hesla vyplnuje prohlizec/aplikace uloziste/... nemusim si nic pamatovat ani nikde nic hledat a kopirovat.

Jakykoli prolomeni cehokoli je minimalne vopruz a to na naprosto libovolnym webu. Jakmile bych pouzival vic webu se stejnym pristupem, nastava naprosto zasadni problem - musim mit nekde seznam vsech webu na ktery sem se stim pristupem registroval ...

Jinak nastanou vsemozne ruzne neblahe dusledky, kde ziskani dat z acc je to nejmensi. Acc bude zneuzit (nepisu muze byt, protoze jde o 100% jistotu) ke vkladani spamu, bude zneuzit k prolinkovani osoby uzivatele (vytezeni toho, co kde pise/cte/kupu­je/....), povede to k banum, zneduveryhodneni osoby vuci webu (kdyz si debil neumi ani shovat heslo ...).

Kdyz mam acc unikatni, nemusim resit bambilion jinych webu kde sem registrovanej, coz je vopruz takovych rozmeru, ze leda idiot muze neco takovyho napsat. Navic bych chtel videt jednoho jedinyho cloveka, kterej si vede evidenci toho, kde vsude se s tim jmenem a heslem registroval ... (a volu, kteri pouzivaji vsude stejne, znam celkem dost, dycky se jim pak strasne smeju).

Minimalizuju skody zpusobene tim, az se databaze ocitne verejne ke stazeni - a ne, opravdu neni otazka zda, ale pouze kdy.

A pak narozdil od retardovane vetsiny nemusim resit zmenu hesel a mailu u bambilionu sluzeb, ktery si uz davno nepamatuju.

Jasne, mail, adresa ... to nic, ono to prejde ... presne v okamziku kdy bude denne schranka plna ruznych uzasnych nabidek na zaklade souhlasu ...

Cislo karty je to posledni co me zajima, tu zrusim lusknutim prstu.

V takovem pripade jsou knicemu jakekoli openid servery, protoze nic nezarucuji. Nebo mate snad pocit, ze vam fuckbook garantuje ze franta vopicka je fakt vopicka a ne kralik?

Běžnému uživateli stačí běžný stabilní webhosting, v lepším případě vlastní doména - OpenID identitu si deleguje pomocí pár řádků v XHTML na nějakého poskytovatele → má vlastní stabilní ID a nemusí si provozovat server. Když mu provozovatel přestane vyhovovat, jednoduše delegování přesměruje jinam.

Přihlašování přes FB do eshopů a jinde je super. Kromě toho, že stačí přijít o jedno heslo aby mohl vzniknout celkem slušný problém, tak z FB člověk nebude moct ani nikdy odejít, pokud na těch dalších webech bude mít účet už nějakou hodnotu. Navíc FB ví opět více (kdy a kam chodíte). OpenID alespoň řeší to šmírování a závislost na dalším subjektu (pokud si udělám ověření sám), ale stejně se mi ani to nelíbí, používám KeePass a generovaná hesla pro každý web jiná.

Souhlas, generuju heslo pro kazdy web extra, stejne jako login a nekdy i alias mailu (podle toho, jak moc duveryhodny mi web prijde)... nevidim v tom zadnej problem, hesla si samo nepamatuju, na to mam uloziste.

Jedinej problem sou weby, ktery trpej neschopnosti tvurce a omezujou znaky pouzitelne do hesla ...

Přihlášení do eshopu není z pohledu bezpečnosti příliš citlivé místo . Rozumný člověk eshopu svou platební kartu nesděluje (platí se přes externí platební brány) a nic jiného k ukradení v těch účtech není. Hrozit může maximálně následný spam. Takže bych to tak nedramatizoval.