OpenID é um conceito falho?

https://stackoverflow.com/questions/263094

06-07-2019
|

Pergunta

Eu não estou perguntando sobre implementações específicas, eu não estou perguntando sobre a visão de mundo global cross site single sign on mecanismos, eu só quero saber o que a comunidade pensa sobre a usabilidade subjacente de OpenID. Você acha que usando uma URL emitido por um (para o observador não-técnico) random variedade de prestadores no lugar de um nome de utilizador real é algo que as pessoas vão preferir? Se não, alguém tem um mecanismo melhor? Se houver interesse suficiente, eu vou seguir com uma questão mais geral SSO.

Nenhuma solução correta

Outras dicas

NO.

Eu não acho que é fundamentalmente sistema falho. Em termos de usabilidade eu diria que é falho, pois é um desvio da norma, e mais difícil de se acostumar, ou seja, URL em vez de um nome de utilizador, tendo que escolher um provedor. Mas eu acho que eles são os únicos problemas, e as coisas podem ser e estão sendo feitas que melhorá-los (ajustes de usabilidade no log-in páginas, Yahoo e Google sensibilização para a idéia).

Além de que, eu acho que é um grande sistema:

Lembro-me de combinação de senha ID de uma conta (não precisa confiar em soluções de software para os muitos ID-> problema de senha)
Eu não preciso preencher um formulário quando vou para um novo site, e esperar por e-mails de inscrição para confirmá-la.
Se eu não confiar em um provedor de OpenID, eu posso tornar o meu próprio provedor, de forma relativamente fácil, que eu pessoalmente acho que é uma grande conquista para um padrão. Fazendo algo tão versátil e (AFAIK) é fácil para mim, realmente algo.
É desacopla a responsabilidade de construir um site de armazenamento e segurança de senha, quando ambos os empregos estão se tornando cada vez mais difícil.
Eu realmente não sei muito sobre este ponto seguinte, mas eu acho que é muito fácil de usar uma conta OpenID para hospedar vários personas, que podem ser usados ??para diferentes sites por exemplo "Essa é a minha persona de trabalho, que é o que eu apresento quando me inscrever para ilovemyjob.com. E este é meu amigo persona, eu uso isso para facebook" e as diferentes personas têm informações diferentes vinculados a eles. Como eu disse eu não sei muito sobre como isso é feito, ou exatamente por isso que seria útil ... mas vou descobrir o que poderia ser bom para.

Isso é sobre os principais benefícios que vejo com OpenID. Em termos de desvantagens, há o aspecto da usabilidade, que admito é um problema. A principal outro ponto que as pessoas usam para criticar OpenID é que se a conta está comprometida, então muitos logins estão comprometidas. Na minha opinião isso não é pior do que o sistema atual de ter e-mails ligados a contas, o que poderia ser igualmente comprometido e usado para que "esqueceu seu nome de usuário?" função em muitos sites. Eu também gostaria de salientar que OpenID não se destina a resolver esse problema - é uma solução para o problema múltipla ID / senha. No entanto, ter uma senha dá-lhe uma licença maior para manter atualizá-lo para maior segurança -., Sem ter que depender de software lembrando isso para você, ou esquecer o tempo todo

Assim, OpenID tem o seu problemas, mas eu diria que é uma boa solução para o problema múltipla ID / senha.

Referências:
Interessante Google Talk sobre o assunto

Sim.

Em primeiro lugar, escolher um fornecedor é difícil. Se eu fosse um usuário menos experiente, gostaria de pedir "por que eu preciso para compartilhar minhas informações com X para usar um site de execução, Y?" E, em seguida, uma vez que você superar isso, você tem que escolher em quem confiar com suas informações. Eu, pessoalmente, foi com Verisign porque confio Verisign. Mas algumas pessoas nunca pode ter ouvido de alguns desses fornecedores e não estaria em posição de tomar uma decisão informada.

Em segundo lugar, o login é difícil. Em vez de inserir um nome de usuário, eu tenho que inserir um URL (embora StackOverflow torna mais fácil onde você escolhe um provedor e seu nome de usuário do provedor e faz o URL para você).

Em terceiro lugar, se o meu OpenID é comprometida, então todas as contas em sites que eu uso OpenID diante são também comprometida. Algumas pessoas sugerem ter várias OpenIDs para superar isso, mas eu acho que derrota a finalidade inteira de OpenID.

Não consigo entender a angústia contra OpenID.

A minha experiência com início de sessão para este site (reconhecidamente a única ID aberta, tive de lidar com) era simples. Eu vi o OpenID exigido coisa e eu tinha uma vaga compreensão da minha assinatura para o site iria ser delegada a outra pessoa em quem eu confiei e já teve uma id com. Baixa um eis que havia uma ligação ao fornecedor de meu atual provedor de e-mail online. Click, siga um processo que foi suficiente simples que eu nem lembro de ter feito isso.

Agora que a conexão id aberto é configurado, ele não é mais difícil do que qualquer outro negócio local I com ea magia é que eu não tenho para adicionar ainda outra conta para um site que Eu não tinha idéia que eu estava indo para usar novamente e provavelmente iria esquecer o nome de usuário ou senha.

Eu gosto, o conceito ea execução.

Eu já disse isso antes, e eu provavelmente vou dizer de novo, mas a idéia URL é uma idéia fundamentalmente falho. Eles devem ter ido com o formato de endereço de e-mail ou o formato de Jabber de username@service.com. Isso permitiria que os provedores de e-mail existente para oferecer uma ID sem que o usuário se lembrar de alguns URL arcano.

Não, eu não acredito que OpenID é um conceito falho.

Se você olhar para o história de OpenID que foi originalmente concebido para permitir que as pessoas correlacionar-se através de um URL que possuíam através blogs. Esta ideia foi expandida e se tornou o single sign-on sistema que é hoje.

Eu diria que OpenID é perfeito para sites que não têm contas de usuários para manter a informação básica, que não é considerado vital para o usuário final. Assim, um site de quadrinhos que ajuda com avaliações de sua coleção de quadrinhos pode ser um bom exemplo. Porque, como um usuário final OpenID você pode entrar no site (sem criar outra nome de usuário / senha --que pode ser diferente do que qualquer outro que você criou por causa de usuários existentes no sistema) e verificar a forma como eles trabalham. Se você gosta dele, então você pode continuar a usar o sistema como normal. Ou, se você não está totalmente encantado com o site, mas decidir vê-los mais tarde, em seguida, em vez de tentar lembrar qual nome de usuário e senha que você usou para um site que você pensou que não poderiam retornar, pode ser frustrante. endereços OpenID que tipo de situação perfeitamente.

Dito isto, eu não pessoalmente usar OpenID para o login em minha conta bancária, por causa das muitas coisas que foram declarados com a segurança dos redirecionamentos. No entanto muito do que está mudando e há um grande progresso no avanço da segurança da OpenID através da troca de atributo ( especialmente no Japão ).

Outra nota que muitas pessoas não sabem é que você não precisa usar uma URL para ter um OpenID, há uma tecnologia chamada i-nomes que mais parece um nome de usuário, ou seja, o meu i-nome é "= true", isso pode ser muito mais fácil do que digitar algo como " http://true.myopenid.com ". Há um custo de US $ 12 por ano para i-nomes individuais, de modo que pode inicialmente ser uma barreira para algumas pessoas, no entanto livre alternativas existem se você gostaria de brincar com eles.

Em uma última nota OpenID está promovendo a idéia de descoberta (se isso é uma palavra). É um conceito que parecia estar sentada logo abaixo da superfície. Descoberta é como redes sociais no nível de protocolo, se você pode :). Há toneladas de trabalho em curso nessa área , que eu acho que vai levar a melhores implementações de OpenID ou pelo menos a idéia de OpenID. Que espero venha a conduzir a uma melhor internet para todos nós.

Disclaimer Estou no comitê XRI TC e executar uma startup com foco na venda e prestação de serviços em torno XRI.

FreeXRI não é o arranque estou envolvido com.

O Google parece pensar assim. Sua recente entrada no espaço OpenID, e imediata garfo posterior do protocolo, tem duas coisas a dizer sobre o assunto:

OpenID é útil, especialmente quando ele está vinculado a sites com um grande número de usuários para uso com sites que poderiam suportar um grande número de usuários e, provavelmente, não vai chamar-los. Por que reinventar a roda em um sistema de autenticação quando alguém como o Google ou aqueles que trabalham em OID já tê-lo coberto?

OpenID como está é confuso, pois as pessoas já têm um grande número de diferentes nomes de usuário com muitos dos fornecedores participantes. No entanto, muitos usuários teve uma grande oportunidade quando GMail veio ao redor para obter o seu próprio nome como o seu endereço de e-mail, e ter um número bastante infinito de contas que podem ser criadas. Google parece pensar que o seu sistema de conta por si só é suficiente para todos os usuários Open ID. Eu provavelmente concordar com isso.

Não seria melhor ter esse tipo de coisa embutido no navegador?

Por exemplo, você inserir seus dados pessoais nas preferências do navegador. Em seguida, um site pode solicitar dados pessoais com uma chamada de JavaScript, e os shows navegador você uma caixa de diálogo pedindo confirmação. Claro, a API JavaScript terá de ser padronizado.

Dessa forma, o usuário não tem que se inscrever em qualquer lugar, e toda a sua informação pessoal é armazenada em sua própria máquina. Além disso, as mensagens de confirmação seria parecido com o resto do seu sistema operacional, e não apenas como um site que você pode não confiança.

Eu não acho que é um conceito falho. Eu só acho que é novo, e as pessoas não estão acostumadas com isso.

Mas OpenID deve ser usado em conjunto com um sistema de registro local para que o usuário tem uma escolha. Informando o usuário para ir para X.com para registrar e, em seguida, voltar ao seu site após - que é apenas estúpido e confuso. Mas se o usuário já tem um GMail / AOL / yMail / etc conta, em seguida, deixá-los usá-lo é muito muito útil.

Eu acho que nós, como os desenvolvedores devem estar usando formulários de login especializados embora. Ou seja, em vez de "Digite seu OpenID URL" que deve ser um padrão "digite seu nome de usuário" e eles podem selecionar Gmail / AOL / yMail / etc e nos bastidores que construir a URL. A idéia de uma URL ser um nome de login é um pouco para trás, de modo a ajudar as pessoas com a transição é bem-vinda.

acho que é melhor para obter mais específico, em vez de geral, com este tipo de perguntas.

Para a sua pergunta, eu não acho que ele é falho, mas você está certo de que não pode apelar para alguns. No entanto, uma vez popular obtê-lo, como em compreendê-lo, então eles podem vir a usá-lo mais. É sem dúvida uma coisa melhor do que ter que lembrar menos senhas como um acaba tornando-os mais fracos do que deveria ser.

Você precisa ter um ID de usuário único em tais Szenario a. Uma outra opção poderia ser um endereço de e-mail válido, mas o que é com o spam depois.

Por isso eu prefiro o UserID baseada em URL. E para mim, a usabilidade com OpenID (no meu caso myOpenID) é grande.

Eu acho que algumas das implementações de OpenID deixam muito a desejar.

imaginei Yahoo iria buscá-la direito, mas o seu micro-site OpenID (informação e implementação) é lixo na minha opinião. O layout é confuso, eles não deixam claro como open-id se refere a um conta-yahoo padrão usuários.

Uma vez eu descobri que a tela era necessária para lançar o meu log-in pedido, yahoo emitiu uma assinatura OpenID que incluiu uma seqüência aleatória. Este não foi aceite pelo stackoverflow. Tive que criar um novo alias, que também tinha de ser feita uma opção padrão. Sem um desejo semelhante teimoso para trabalhar com isso, eu acho que um monte de usuários iria desistir.

Na minha opinião, diretrizes mais rigorosas para necessidade de implementação para ser produzido, e as necessidades de campanha a ser amplamente divulgada, para educar os usuários potenciais.

Talvez a tecnologia poderia ser incluído na implementação do navegador?

SIM.

Existem ainda vários logins. Eu tenho que ir e fazer login no meu provedor de OpenID, então eu tenho que ir para o site e faça login novamente com o OpenID URL. Não quer fazer mais trabalho e OpenID é muito mais trabalho.

Não conheço ninguém que não está no campo de computador que usa o OpenID. OpenID ainda é muito complexa. O usuário médio não precisa de ser confundido por outra camada de abstração.

Há também a questão do acompanhamento onde os usuários do OpenID ir. Eu uso VeriSign, um nome confiável, mas que sobre aqueles que estão usando fornecedores menos confiáveis. Não, eu não vou citar nomes e iniciar uma guerra.

Há uma resposta melhor, ele é chamado RoboForm ( ou um dos muitos knock-offs). Todos os usuários senhas e nomes são mantidos em sua máquina e é criptografado. É fácil de usar, mais seguro e mais rápido.

Eu acho que há aspectos do OpenID que apresentam problemas de usabilidade para muitos usuários, mas provavelmente poderia ser resolvido através de melhorias de interface do usuário. Por exemplo, um URL é quase inerentemente inutilizável para a maioria dos usuários. Mas não há nenhuma razão que não pode ser abstraído para que o usuário simplesmente escolhe seu fornecedor e introduz o nome de usuário que usam a esse fornecedor. Além disso, ter que ir a um local separado para entrar é um problema de usabilidade enorme, e com razão conjuntos fora bandeiras vermelhas para os usuários sobre quais os dados que eles estão oferecendo para quem. Isso será muito mais difícil de resolver.

Será que isso não eventualmente, comprometer a identidade de um indivíduo se ele é roubado ou perdido? Esta é a minha principal preocupação. O anonimato tem vantagens, bem como desvantagens. Eu acredito em ter both.I tem amigos próximos que temem aderir à comunidade Facebook sobre o fato de que é tão aberto, torna-se um alvo fácil, se o banco de dados já é atacado.

Eu não quero algum outro sistema possuir meus IDs para as minhas aplicações.

Eu recebo o conceito de simples para o usuário e mais uniforme.

No entanto, UserID é tão fundamental para a experiência para os visitantes do site, você não quer colocar todos os seus ovos em uma cesta (Microsoft Passport, OpenID, etc). Se mudar as coisas, você já errei todas as suas contas de usuário.

O conceito é bom no entanto, o projeto permite a escancarado segurança explora ...

Licenciado em: CC-BY-SA com atribuição

Não afiliado a StackOverflow