Nějak nechápu OpenID

[Marek]

Když se přes něj přihlásím, stejně systém chce jméno, mail a odpovědi na vypečené otázky ohledně ročního období, pilky, kamení, ...

[Reklama]

[Petr Krčmář]

To jsou dvě otázky v jedné. Odpovím proto nadvakrát:

• První přihlášení přes OpenID funguje vždy vlastně jako registrace. Nový server si zapamatuje nového uživatele a vytvoří si k němu profil. Může převzít některé údaje od OpenID poskytovatele nebo si vyžádat další, které nedostane. To je normální chování.
• Zabezpečení proti spammerům je na místě i tady, jako při každé jiné registraci. Spustit si vlastního poskytovatele OpenID je triviální a pokud by to znamenalo snadné obcházení antispamových ochran, není problém si vygenerovat miliardu identit za sekundu. Proto je potřeba oddělit bota od člověka i v tomhle případě.

[Jim]

Pokud je to jak popisujete, nepřináší taková registrace vlastně žádnou výhodu...

[Lukáš B.]

Nepomohlol by nejaký aktivačný mail so spambot ochranou? Osobne tiež postrádam zmysel registrácie keď musím stále vypisovať kto čo chvilku ťahá, ale zas na druhej strane je to len lenivosť ľudí a každému (aj mne ako slovákovi) to zaberie len chvíľku.

Tak či onak sa mi zdá, že sa otázky pomerne často opakujú, keby niekto chcel cielený útok, myslíte že je taký problém vytvoriť skript, ktorý by vedel na týchto XY otázok odpovedať?

[Petr Krčmář]

Jim: Důležité je, že je uživatelské jméno jednotné a autorizace je na jednom místě. To je princip OpenID. Nikdo neříká, že se server nesmí na nic uživatele zeptat.

Lukáš: Ty otázky to klade jen neregistrovaným a při registraci. Pokud je uživatel přihlášený, už se to neptá. Počet otázek je problém, protože není snadné je vymyslet. Byla tu spousta stížností třeba na nutnost odpovědět s diakritikou, stěžovali si Slováci a podobně. Několikrát jsem vyzýval k vymyšlení dalších otázek. Nedostal jsem nikdy ani jednu. Prostor je otevřen: redakce at root.

[Reklama]

[jadd -rf]

Spustit si vlastního poskytovatele OpenID je triviální a pokud by to znamenalo snadné obcházení antispamových ochran, není problém si vygenerovat miliardu identit za sekundu.

Vlastního poskytovatele? Snad MojeID musí mít povoleno od vás přístup, ne?
A co se týče MojeID, pojistka k získání účtu není jen platná email adresa, ale i skutečná. O nějakém robotu bych pochyboval.
Nutné je povolené cookies Rootu i MojeID.

[Petr Krčmář]

Pozor, ale my se nebavíme o MojeID, ale o OpenID. To není totéž. MojeID je jedna česká služba poskytující OpenID identity. Asi jako Gmail je jedním z poskytovatelů e-mailových služeb.

OpenID je obecný princip a zřídit si autoritu může kdokoliv. Jeho server pak může generovat libovolný počet identit (franta1, franta2...) a bez ochran na webech by mohl třeba libovolně spamovat.

[Jim]

Já beru svůj příspěvek zpět, šlo mi o to že je zbytečné jakékoli ověření pokud poté zadávám captcha, ale právě jsem to vyzkoušel a po přihlášení to po mně nic nechce. Naštěstí.

[Petr Krčmář]

Ano, tak je to schválně nastaveno. Jsem rád, že to funguje.