Salir de OpenID. Acabo de autenticación no tiene por qué login para OpenID Provider

Question

Introducción a esta pregunta: OpenID. ¿Cómo cerrar la sesión

OK. Así OpenID no tiene cierre de sesión único.
Puedo ver los usos, pero hay algunas situaciones que me preocupan:

inicio de sesión único en es ideal para dispositivos móviles y su ordenador personal.
Firmar en vez y probablemente nunca tendrá que firmar de nuevo (solo autenticación con nuevos sitios a medida que avanza).

Pero si estoy en un ordenador público (aeropuerto, o incluso un equipo de trabajo) este es un problema.

Cuando inicio sesión en un sitio web usando OpenID estoy firmando en dos lugares diferentes y que no es obvia. Me registro en un sitio web (por ejemplo, usando stackoverflow cuenta de Gmail), pero al mismo tiempo, acabo de firmar en Gmail (OpenID Provider).

Cuando la sesión de stackoverflow Todavía estoy chamuscado en Gmail (OpenID Provider).

Cuando autentico con Gmail no quiero una sesión en Gmail sólo quiero autenticar.

A cortar alrededor esto es tener el flujo de cierre de sesión me Sal de Gmail al mismo tiempo, pero como se ha señalado en el último mensaje, si cierro sesión en stackoverflow que no necesariamente quiere cerrar la sesión de Gmail si estoy en casa.

Así que la pregunta realmente es:
¿Hay una manera de autenticar con estos proveedores de OpenID sin iniciar sesión.

Dado que los sitios incluso como desbordamiento de pila, que no se realice la desconexión cuando se cierra la sesión del proveedor de OpenID ha autenticado con. Si usted tiene cuenta de Gmail que puedo entrar y salir todo el día sin afectar si se registra en stackoverflow.

Answer 1

People apparently fail to see the question in your question, so I repeat it here just for clarity (and with a question mark)

Is there a way to authenticate with these OpenID providers without logging on?

I believe that the answer to this question is "no" (as blowdart elaborates).

Answer 2

If the protocol doesn't support it (and it doesn't) then there's nothing you can do here, aside from delete all your cookies once you're done, which would clear the cookie which logs you into your provider and the ones that log you into services.

As an aside an OpenID provider doesn't have to provide you with a persistent cookie, or even a session cookie which keeps you logged into your OpenID account, it could authenticate you once for itself, then sent the authentication token onwards. If you're worried about being logged into Gmail when you use OpenID then choose another OpenID provider.

But how is this a question?

Answer 3

The short answer is yes, in practice, by choosing a reasonable OpenID provider.

The long answer is that this is a question about your OpenID provider, not OpenID itself.

OpenID only handles authentication. Session support (and related concepts such as logging in or out) is outside of the OpenID spec.

Your OpenID provider may keep a session for you (probably with a browser cookie). Any reasonable provider will not do this unless you indicate ("remember me when logging into stackoverflow.com").

The OpenID consumer (such as StackOverflow) may keep a session for you as well. There is nothing you can do about this, but this is true for any authentication scheme, whether 3rd party or direct.

Because the 3rd-party aspects of OpenID are well designed, it is easy to avoid logging in in practice, by choosing a reasonable provider, or better yet, by using a HTML page as your claimed identity, which delegates to a provider which you can change if you decide to switch.

Answer 4

OpenID doesn't specify if provider should create a login session for themselves but almost all of them do. So there is no option to just authenticate RP without leaving a session in OP.

If you really want to authenticate without leaving a session, you can do it with other protocols. Just about every OP provides a proprietary protocol to login with username/password. For example, Google has ClientAuth and AOL has directLogin. This is so called password anti-pattern. It creates some privacy concerns because you collect Google password on your site. I am not recommending it in anyway.