-

11.2.2008 12:26 | Přečteno: 1527× | Smazané zápisky | poslední úprava: 2.9.2009 08:24

 

Tento zápisek byl redakcí smazán.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

       

Anketa

Komentáře

[Filip Jirsák]

OpenID není centrální databáze, naopak databáze je decentralizovaná – databázi může provozovat každý, kdo má nějaký HTTP server. OpenID je např. http://example.com/Jů, v tomhle případě je pak správce databáze ten, kdo spravuje web server http://example.com/. Takže vám nic nebrání na http://freshmouse.cz/ si udělat vlastní OpenID databázi.

Ona decentralizace je ale zároveň nevýhoda, protože když si kdekdo zprovozní OpenID server za svým padavým ADSL, budou z navazování spojení s takovým serverem vyížené servery (portály apod.) jistě nadšené…

[freshmouse]

Aha, díky za zpřesnění (spíš vyvedení z omylu), doplním.

Jen jsem přestal chápat význam OpenID. Jak potom může být to ID jen jedno, když každý bude mít svou databázi?

[freshmouse]

Anebo to může probíhat tak, že ta "centrální databáze" bude jen ověřovat volnost nějakého jména a bude přesměrovávat na "skutečnou" databázi.

[J]

Ty jsi ale retardovany. Zachovame tve poselstvi i tvym potomkum, oki? Predstav si, ze zadna centralni datavaze neni vubec potreba. Krom toho jako clen hnuti jabberistu sedmeho dne, bys takove kecy vypoustet vubec nemel. Kdo zajistuje, ze fm@muj-ruzovy-jabber.cz je freshmouse? Nikdo. Ale kdo zajistuje, ze fm@muj-ruzovy-jabber.cz je fm@muj-ruzovy-jabber.cz? Skutecne, centralni databaze je potreba.

Puvodni freshmousovo kecy:

Tak jsem zase mimo dění. Svět vítá další novou super věc a já se vůbec neraduju. O co jde tentokrát? O OpenID.

Poslední dobou se zdá, že kde to žije, tam jsou slova community a open (proč je to anglicky, to pochopíte níže).

Slůvko community vždycky (čti: poslední dva nebo tři roky) táhlo. Dává pocit, že kdo je v komunitě, je prostě členem nějaké prima party a má tedy právo být s ostatními u táboráku, držet je kolem ramen a za zvuku loutny zpívat a tancovat kolem toho táboráku, což je pochopitelně fajn – zejména se dvěma a více promile v krvi.

S community v zádech vznikly i takové nesmysly jako třeba Web 2.0 (mimochodem, dočkáme se nějakých záplat, třeba 2.0.1?) a další falešní jelenovití.

Slovo open zase dává pocit jakéhosi morálního povýšení, že člověk podpořil dobrou věc, protože co je open, to nemůže (či spíše nesmí) být špatné. Jako když miss podporuje svobodu zvířat, aby se pak zdekovala na molo a předváděla tam nejnovější kožichy, nebo jako když Al Gore je ten nejvíc eko ze všech eko a pak za měsíc spotřebuje tolik energie jako panelák… Open má ještě ke všemu tu výhodu, že zní skoro jako open source, a tak je masivně podporováno mj. i příznivci tohoto hnutí.

Nyní k věci – o co jde a co to je OpenID?

OpenID je jakási skupina lidí, která si usmyslela, že mít víc než jeden uživatelský přístup do několika různých webových stránek není dobré a že by stačil jen jeden.

Myšlenka je taková, že každý uživatel bude mít svoje (Open) ID a heslo, a za jejich pomocí se bude hlásit do všech služeb na webu (které OpenID podporují). Měla by tedy de facto existovat jakási centrální databáze uživatelů. Existuje jistá forma decentralizace, a to ta, že ID smí poskytovat více registrátorů (předpokládám, že „registrátoři” jsou jen grafická rozhraní k té databázi uživatelů).

Když pominu, že se mi nelíbí, že vůbec existuje nějaká centrální databáze nebo že není moc dobré mít ke všem službám stejné uživatelské jméno a heslo a že nemám zájem zbytečně někoho informovat o tom, kam jsem se právě přihlásil, nemohu pominout praktickou stránku věci: uživatelé si stejně budou registrovat více účtů.

Nebo si snad někdo myslí, že všichni mají jen jednu identitu a pod tou se hlásí jak do warez diskuzí, tak do stránek místního úřadu? Těžko. Tím se tedy dokonale smazaly veškeré výhody ideje OpenID (mít jediný účet a nenamáhat se s několika, což je v době nejnovějších technologií à la správce hesel opravdu přítěž) a zůstaly jen nevýhody a hořkost…

Není to tak dávno, co jsem OpenID považoval za hříčku několika hippies, která má životnost jako bagety od Papáčka. Naprosto mne tedy šokovalo, že se k myšlence Jedno ID vládne všem připojily (prostřednictvím OpenID Foundation) skupiny jako Google, Microsoft, Yahoo!, IBM, VeriSign a další.

Přehodnotil jsem tedy své závěry a došel k tomu, že OpenID čekají dobré časy (a mě špatné – už vidím ty nápisy „Přihlašte se s pomocí Vašeho OpenID…”). I když… Jak kde.

Ani moc nemám strach, že by OpenID mohlo mít tady v Česku nějaký úspěch. Česko se nikdy moc neřídilo trendy, ať už šlo o náboženství, Santu Clause anebo ájpody. Jsme tady tak nějak izolovaní a mně to vůbec nevadí.

Krom toho, že se tady nejspíš nechytne samotná podstata myšlenky OpenID, budou mít její šiřitelé navíc i problém s propagací (beztak zbytečnou). Slovo open nemá v Česku zvuk, podobně jako ID, které tady, narozdíl třeba od Států, kde se užívá běžně v různých významech, půlka lidí prostě nechápe.

Výkřiky typu „My používáme OpenID!” nebo „U nás můžete mít otevřené ID!” (otevřené ID zní šíleně, co?) v naší malé zemi nezpůsobí pražádný rozruch (možná tak na Lupě o tom napíšou…) a i jejich původcům brzy zchladne hlávka.

Nezbývá tedy než doufat ve výhru českého flegmatismu a skepse a že se od nás svět alespoň jednou něco naučí…

Uvidíme.

[Filip Jirsák]

OpenID je celá adresa, např. http://example.com/freshmouse. Správce téhle adresy pak má na starosti vše související se správou osobních údajů – ochranu heslem, které údaje komu poskytne atd. Srozumitelně a jednoduše je to popsáno u Misantropa: Co to je OpenID? a uživatelský pohled.

[freshmouse]

Misantropa jsem si četl ještě před zápiskem.

Co jsem tedy nově pochopil: 1. je to decentralizované v tom smyslu, že závisím na poskytovateli; 2. pokud někam zadám OpenID, je tam i s poskytovatelem a už to nelze změnit.

OpenID mi nyní připadá ještě více k ničemu.

[Filip Jirsák]

1. je to decentralizované v tom smyslu, že závisím na poskytovateli; 2. pokud někam zadám OpenID, je tam i s poskytovatelem a už to nelze změnit.

Ano. Přičemž to je ale všeobecný princip – stejně to funguje u webu, e-mailu, Jabberu. Druhá možnost je centrální databáze, kde to ale funguje na tom principu, že poskytovatel je jenom jeden, a tudíž není za co měnit

[Věroš]

1. ano

2. Lze. Viz Opravník.

[J]

Jenze neni zadny technicky duvod, aby id nemohl zmenit (coz muze znamenat i zmenit poskytovatele). Akorat by (dnes) musel obejit vsechny ty stranky, kde je zaregistrovany se starym openid. Kdyby bylo pravda to, co tvrdite, znamenalo by to, ze nemuze zmenit e-mail, protoze by mu z jeho oblibeneho webu prestaly chodit upozorneni na komentare (jenze to neni pravda, oblibeny web umoznuje zadat jinou e-mailovou adresu, ta analogie samozrejme neni presna)

[Filip Jirsák]

S dvojkou bych polemizoval. To je to samé, jako když změníte e-mail a na starém nastavíte přesměrování. Nebo vytvoříte nový web a na starém budete posílat prohlížeči hlavičku 301. Tzn. pořád jste identifikátorem svázán se starým poskytovatelem, ale ten jenom nevyřídí požadavek sám, ale řekne vám, kde to vyřídí za něj. Ale původní poskytovatel musí stále existovat, stále příslušné OpenID znát a musí být ochoten mít tam nastavené přesměrování. Takže hlavní důvody přechodu k jinému poskytovateli (ukončení vztahu s poskytovatelem – stduent, zaměstnanec; rozchod s poskytovatelem ve zlém; ukončení poskytovatele) tím stejně ošetřeny nejsou.

Trochu je tu zmatení pojmů, protože vy používáte termín „poskytovatel“ pro toho, kdo provozuje OpenID „engine“, freshmouse to používá pro toho, do jehož domény dané OpenID patří. Toho prvního změnit můžete, ale to je změna pod povrchem, toho druhého změnit nemůžete, resp. přijdete o svoje původní OpenID.

[J]

Zavislost na poskytovateli _neni vlastnosti_ openid. To je vlastnosti treba toho webu, kam se jim registrujes. Dany web muze klidne poskytovat funkci "zmenit openid", ktera provede presne to, co se deje pri registraci na ten web, ale zachovaji se uzivatelska data (zmeni se teda jen id). Predstavme si to treba tak, ze v linuxu zrusim uzivatele, ponecham ale jeho domovsky adresar a pak zavedu noveho uzivatele (jine jmeno a heslo) se stejnym domacim adresarem a stejnym UID.

[Filip Jirsák]

Ale pokud ten web má vlastní systém uživatelských účtů (identit), pak se z celého slavného OpenID stává x-tý systém pro správu hesel, nic víc.

[freshmouse]

Přesně tak.

[freshmouse]

Tedy ani ne tak systém pro správu hesel, jako spíš jakási další zbytečná vazba, když už mám někde účet.

[Eregon]

Trochu pokrocily system pro spravu hesel, rekl bych - preci jen se nestara o hesla samotna, ale to je vedlejsi.

Hlavni vyhodou OpenID ve srovnani s kterymkoli z X spravcu hesel je to, ze neni vazane na konkretni pocitac. Pokud uzivatel sedi v 99% pripadu u sveho vlastniho pocitace, pak je OpenID zbytecna komplikace, to je pravda, ale pak ho take nic nenuti OpenID si zarizovat a vubec pouzivat.

Ale je skutecne mnoho takovych uzivatelu, kteri pracuji s nekolika ruznymi pocitaci. Navic ne vsechny musi byt pro ukladani hesel toho daneho uzivatele bezpecne. Pro takoveho uzivatele je OpenID naopak prinosne.

[Filip Jirsák]

Správce hesel nemusí být vázán na konkrétní počítač.

OpenID se nemusí starat jen o hesla samotná, ale jakmile se bude starat o identitu uživatele, je zde onen neustále opakovaný problém změny OpenID uživatele, která se tím okamžikem stává vážným problémem. Protože bez OpenID sice má člověk na každém serveru jinou identitu, ale aspoň záleží vpodstatě jenom na něm, zda dokážu existenci té identity zachovat (zda si zvládne zapamatovat login a heslo). Jakmile přejde na OpenID, je tohle mnohem těžší – buď se svěří do rukou externího poskytovatele (a bude závislý na něm), nebo se stane sám svým poskytovatelem (alespoň identifikátoru OpenID, nemusí nutně poskytovat i OpenID službu), pak už se ovšem doživotně musí starat o svou doménu.

Oproti e-mailu nebo IM je zde jeden podstatný rozdíl – identifikace e-mailu nebo IM je podstatná nyní a v blízké budoucnosti, identifikace OpenID je podstatná také do minulosti až k době vzniku konkrétního OpenID identifikátoru. Se změnou e-mailu musím obeslat své partnery, že měním e-mail, ale již doručené e-maily zůstanou nedotčené. Pokud změním OpenID, odříznu se tím od historie té identity.

[Eregon]

Spravce hesel nemusi byt vazan na konkretni pocitac

Mozna jsem se blbe vyjadril, nejde o jeden konkretni pocitac, ale o to, ze se pouziva na strane klienta, takze je komplikovane ho pouzit kdykoli a odkudkoli.

Pokud jde o zmenu identity, tak to problem neni. Problem se zmenou identity a odrezavanim od jeji historie ma sve reseni v podobe delegace, coz vyzaduje jen trochu premyslet dopredu ve chvili, kdy si novou identitu zarizuji - proc to tak je, jsem vysvetlil o kus niz, nebudu to psat znova.

[J]

Nerozumim. Ten web si prece vzdycky musi pamatovat sam uzivatelova data (jako osoby), treba seznam jeho objednavek. Tudiz musi v nejake podobe uchovavat zobrazeni openid -> data. Musi nejakym zpusobem vnimat, ze jsou tam uzivatele. Zmena openid je pak jen zmenou toho zobrazeni. Nevim, jak bych to rekl lepe.

[Eregon]

Tak to jsi asi necetl poradne. Pod nadpisem "Jak OpenID funguje?" je to vysvetleno hezky v bodech i pro pomalejsi.

Proc by to proboha nemelo jit zmenit? Na strankach sluzby zadas sve openID, presmeruje Te to na stranku spravce OpenID identity, tady si vygenerujes jednorazovy vstupni klic. S nim se vratis na stranky sluzby, ktera z nej pozna (overi si to proti openid serveru), ze jsi skutecne example.com/freshmouse. Sluzba se podiva do sve databaze, zjisti, ze tato identita je na sluzbe svazana s loginem freshmouse a povazuje Te za prihlaseneho pod timto loginem. Proc by proboha nebylo mozne prijit na tu sluzbu a rict, ze odted je Tvuj login svazany s jinym OpenID, nebo treba s zadnym? Nikde ani neni receno, ze by ta sluzba musela zrusit pristup jmenem a heslem.

Co se zavislosti na poskytovateli tyce, uz jsem napsal, ze staci vlastni domena a uprava DNS zaznamu v pripade presunu k jinemu poskytovateli. V clanku na Misantropovi bys se docetl (o kousek vys), ze ani takova komplikace neni potreba: staci mit vlastni web stranku, do jeho hlavicky dat dva taky <link> a adresu tohoto webu pak pouzijes jako sve OpenID. Kdyz se Ti znelibi jeden poskytovatel, upravis hlavicku sveho webu a jsi razem u jineho.

Kde je furt problem?

[Eregon]

s/dva taky/dva tagy/

Jdu radsi na obed

[Filip Jirsák]

To ale předpokládá další vazbu login–OpenID na každém serveru. Já jsem OpenID chápal jako univerzální identifikátor, kterým se identifikujete přímo – tj. na každém serveru bych se identifikoval přímo svým OpenID, bez zprostředkujícího účtu.

I kdyby fungoval ten zprostředkující účet, je to stejně k ničemu, protože v okamžiku změny OpenID si vezbu účet/OpenID změním jen na těch nejpoužívanějšéch místech, a na ostatních na to stejně zapomenu (protože ani nebudu tušit, že jsem se před 3 roky zaregistroval do nějaké bugzilly programu, kterým jsem používal týden).

[J]

Az na to, ze seznam tech serveru, kam jsem se s timhle openid registroval nekde existuje...

[freshmouse]

To ale předpokládá další vazbu login–OpenID na každém serveru. Já jsem OpenID chápal jako univerzální identifikátor, kterým se identifikujete přímo – tj. na každém serveru bych se identifikoval přímo svým OpenID, bez zprostředkujícího účtu.

Přesně tak jsem to chápal i já.

[Věroš]

Pokud jako login použiješ OpenID (jakože inteligentní webový server podporující OpenID přihlášení to tak udělá), tak sice stále vazba existuje, ale ty ji nemusíš vidět.

[Eregon]

Kdepak, nepredpoklada, to zalezi na te sluzbe, ke ktere se uzivatel prihlasuje, jak si to implementuje, coz muze zalezet na vice faktorech. Nekde se to svazat muze, nekde nemusi (pak se namisto loginu pouzije samotne OpenID), to uz zalezi na tom danem webu - k cemu tam to OpenID vlastne je, k cemu umoznuje pristup, co je vubec na samotnem webu, jak moc soubezne chce provozovatel umoznit klasicke prihlasovani... V kazdem pripade vazba, ktera takhle vznikne, je vnitrni zalezitosti te sluzby, a uzivatel se s ni musi trapit jen minimalne, pokud vubec.

Pri presunu k jinemu poskytovateli jsem mluvil o necem trosku jinem, konkretne o delegovani. To funguje tak, ze si udelam jednoduchou webovou stranku a do jeji hlavicky vlozim tagy <link>, ktere obsahuji informace o mem aktualnim OpenID. Na webech sluzeb pak jako sve OpenID pouziji adresu tech svych stranek - v pripade zmeny upravim jen tu hlavicku webove stranky - "verejna" identita se nemeni a spravce identity mam jineho.

Podobne lze pouzit tu upravu DNS (vyzaduje podporu u spravce identity, ale to uz je otazka trhu ), jako sve OpenID budu uvadet napriklad openid.eregon.eu/eregon, pricemz domena openid.eregon.eu bude mit IP adresu mnou zvoleneho spravce. Pokud budu chtit jinam, zmenim A zaznam v DNS a vyrizeno, OpenID se nemeni, poskytovatel ano.

[Filip Jirsák]

Kdepak, nepredpoklada, to zalezi na te sluzbe, ke ktere se uzivatel prihlasuje, jak si to implementuje, coz muze zalezet na vice faktorech. Nekde se to svazat muze, nekde nemusi (pak se namisto loginu pouzije samotne OpenID), to uz zalezi na tom danem webu - k cemu tam to OpenID vlastne je, k cemu umoznuje pristup, co je vubec na samotnem webu, jak moc soubezne chce provozovatel umoznit klasicke prihlasovani... V kazdem pripade vazba, ktera takhle vznikne, je vnitrni zalezitosti te sluzby, a uzivatel se s ni musi trapit jen minimalne, pokud vubec.

Pokud ta vazba neexistuje, není možné řešit změnu OpenID změnou vazby na té službě. A pokud taková vazba existuje, je OpenID skoro k ničemu.

Pri presunu k jinemu poskytovateli jsem mluvil o necem trosku jinem, konkretne o delegovani. To funguje tak, ze si udelam jednoduchou webovou stranku a do jeji hlavicky vlozim tagy <link>, ktere obsahuji informace o mem aktualnim OpenID. Na webech sluzeb pak jako sve OpenID pouziji adresu tech svych stranek - v pripade zmeny upravim jen tu hlavicku webove stranky - "verejna" identita se nemeni a spravce identity mam jineho.

Podobne lze pouzit tu upravu DNS (vyzaduje podporu u spravce identity, ale to uz je otazka trhu ), jako sve OpenID budu uvadet napriklad openid.eregon.eu/eregon, pricemz domena openid.eregon.eu bude mit IP adresu mnou zvoleneho spravce. Pokud budu chtit jinam, zmenim A zaznam v DNS a vyrizeno, OpenID se nemeni, poskytovatel ano.

Delegování ale neznamená nic jiného, než že skutečnou práci spojenou s OpenID předám někomu jinému. Problém se změnou OpenID ale pořád zůstává. Vůbec totiž nejde o změnu poskytovatele služby OpenID, ale o změnu OpenID (resp. jeho domény). Představa, že každý má svou doménu a na ní provozuje vlastní webserver (nebo aspoň může subdoménu nasměrovat na cizí webserver) je trochu naivní…

[Věroš]

Delegování ale neznamená nic jiného, než že skutečnou práci spojenou s OpenID předám někomu jinému. Problém se změnou OpenID ale pořád zůstává. Vůbec totiž nejde o změnu poskytovatele služby OpenID, ale o změnu OpenID (resp. jeho domény). Představa, že každý má svou doménu a na ní provozuje vlastní webserver (nebo aspoň může subdoménu nasměrovat na cizí webserver) je trochu naivní...

Ano.

Pokud nechci provozovat OpenID server ve své režii, tak můžu použít existující.

Pokud nechci svoje OpenID delegovat na třetí stranu, tak musím použít vlastní.

Stejně jako s e-mailem, Jabberem, webovými stránkami a všemi decentralizovanými službami Internetu.

[Filip Jirsák]

Jaký je rozdíl mezi změnou e-mailu a změnou OpenID jsem mezitím popsal o pár přípěvků výš.

[Honza Jaroš]

Pokud se nepletu, tak delegující stránka může mít jako URL třeba http://sweb.cz/franta_vopicka/mojeopenid/. Vlastní doména není potřeba.

[Filip Jirsák]

Delegující stránka nic neznamená. Identifikuje mne jeden identifikátor, a to je OpenID. Jestli ho někam zadám přímo, nebo se ho server dozví z nějakého odkazu, je jedno. Součástí OpenID je doména (aby byla zajištěna jednoznačnost), a tím pádem je moje OpenID identita svázána s tou doménou. Pokud majitele té domény přestane OpenId zajímat, moje identita s daným OpenID skončila.

[Honza Jaroš]

Ovšem v tom případě si můžete zřídit nový OpenID účet na jiném serveru. Pak stačí změnit odkaz na delegující stránce. Pokud budete využívat delegující stránku, servery, kam se budete hlásit, vás povedou pod účtem http://sweb.cz/franta_vopicka/mojeopenid/. To, že ve skutečnosti byl váš účet třeba na http://zrusenyserver.org/fv/ jim bude jedno. Pokud se na adrese delegující stránky změní odkaz na server pro ověření, budou ho následovat na nové místo.

Během nějakých deseti minut budu muset prchnout od počítače, ale jestli chcete, zkusím si večer založit dva OpenID účty na dvou serverech a zkusit přehazovat ověřování mezi nimi pomocí delegující stránky. Nějaké servery využívající OpenID jsem už viděl, takže není problém to otestovat v reálném provozu.

[Filip Jirsák]

Jenže pokud si založím OpenID na jiném serveru, to nemá s původním OpenID nic společného. To že na něj odkazuje shodou okolností stejná delegující stránka nemůže žádný server zajímat. Protože tím důležitým identifikátorem je OpenID, ne delegující stránka (teda aspoň doufám, jinak by OpenID bylo totálně nezabezpečené – a i kdyby nedejbože rozhodujícím identifikátor byla delegující stránka, posouvá se závislost na tu stránku, a staneet se jenom závislým na provozovateli webu sweb.cz).

[Věroš]

Ne, inteligentně aplikované OpenID je adresa mojí stránky. Té, která deleguje. Ne adresa OpenID providera (toho, který odpovídá na OpenID protokol).

Že to třeba Artur na Bloguje ze začátku takhle neměl, to je věc jiná...

[Filip Jirsák]

Takže je to závislé prozměnu na adrese delegující stránky. A když naštvu majitele té adresy, tak mi prostě ke stránce zakáže přístup, změní si delegaci na svého OpenID poskytovatele, a rázem se na všech serverech podporujících OpenID stal mnou. Ono nejenom, že to je nedomyšlené, ono je to ještě ke všemu nezabezpečené

[Věroš]

Ano. Nejenom na adrese delegující stránky, ale i na jejím obsahu.

V ideálním případě člověk používá důvěryhodného providera (stejně jako e-mail) nebo je sám sobě providerem (jako e-mail).

Ale stejné je to s e-mailem. Pokud naštvu toho, kdo se mi stará o e-mail (třeba Google), tak mi prostě přístup ke schránce zruší.

[Filip Jirsák]

Jenomže je rozdíl mezi tím, když přijdu o přístup k e-mailové schránce (kterou mám zálohovanou) a musím své kontakty obeslat, ať používají jiný e-mail, a mezi tím, když někdo na webu začne mé staré příspěvky vydávat za své. Jak by to asi vypadalo, kdyby někdo tady na Abíčku získal přístup k účtu Yettiho? Nebo Leoše?

[Eregon]

Totez je to s emailem - kdyz nastvu majitele serveru, kde mam emailovou schranku, tak mi k ni proste zakaze pristup, pro kterykoli mnou pouzivany web si necha zaslat prihlasovaci udaje a stane se tam mnou.

Takze se zase dostavame k tomu, ze je potreba nejdriv premyslet a az pak si zarizovat email nebo OpenID identitu.

[Honza Jaroš]

Podle toho, co jsem četl, server, kam se přihlašuji, zajímá skutečně právě delegující stránka. Dál postupuje podle informací, které jsou na ní uvedené - jinak by ostatně celé delegování bylo k ničemu.

Jak jsem říkal, večer to ozkouším a poreferuju.

[Eregon]

Pokud ta vazba neexistuje, není možné řešit změnu OpenID změnou vazby na té službě. A pokud taková vazba existuje, je OpenID skoro k ničemu.

Ale to neni pravda. Stejne, jako nektere weby umoznuji zmenu loginu, lze umoznit i zmenu OpenID. A ze pak uzivatel musi v pripade zmeny projit vsechny weby a tam tu zmenu provest? Ano, to je uplne stejne, jako kdyz se vsude neprozretelne zaregistroval s emailem, ktery neni na cely zivot (treba email u zamestnavatele) - zadna technologie neni uplne blbuvzdorna, i tady je potreba predem trosku premyslet. Ale mame k dispozici to delegovani - viz dale.

Delegování ale neznamená nic jiného, než že skutečnou práci spojenou s OpenID předám někomu jinému. Problém se změnou OpenID ale pořád zůstává. Vůbec totiž nejde o změnu poskytovatele služby OpenID, ale o změnu OpenID (resp. jeho domény). Představa, že každý má svou doménu a na ní provozuje vlastní webserver (nebo aspoň může subdoménu nasměrovat na cizí webserver) je trochu naivní…

Ano, presne o to predani prace nekomu jinemu jde a prave diky nemu problem se zmenou OpenID nezustava. Pokud zmenim sve skutecne OpenID, nemusim obihat vsechny weby, kde jsem ho kdy pouzil, ale jdu pouze na jedno jedine misto, kam proste napisu sve nove OpenID - adresa tohoto jednoho mista se nemeni. Prirozene musi uzivatel pouzit mozek i tady - pokud si takovy alias mermomoci umisti do domeny, ktera temer urcite za ctvrt roku expiruje, pak si samozrejme vubec nepomohl. Ale freehostingu s dlouhodobou perspektivou existence jsou mraky, vyber je o to sirsi, ze neni potreba vlastni domena, cokoli na geocities.com nebo webpark.cz poslouzi stejne dobre.

Co se te upravy DNS zaznamu tyce - nikde jsem netvrdil, ze je to reseni pro kazdeho, a uz vubec jsem netvrdil, ze kazdy by mel mit svoji domenu, nebo dokonce vlastni webserver. Rikam jen tolik, ze tudy lze obejit meziclanek v podobe aliasujici webove stranky (ktera uz resenim pro kazdeho je).

[Filip Jirsák]

Ale to neni pravda. Stejne, jako nektere weby umoznuji zmenu loginu, lze umoznit i zmenu OpenID. A ze pak uzivatel musi v pripade zmeny projit vsechny weby a tam tu zmenu provest? Ano, to je uplne stejne, jako kdyz se vsude neprozretelne zaregistroval s emailem, ktery neni na cely zivot (treba email u zamestnavatele) - zadna technologie neni uplne blbuvzdorna, i tady je potreba predem trosku premyslet. Ale mame k dispozici to delegovani - viz dale.

Ale v tom je podstatný rozdíl. Tedy pokud nechápeme OpenID jenom jako úložiště hesel. Protože když změním e-mail, dříve došlé e-maily mi už zůstanou, těm co mi psali dřív o změně napíšu, a začnu používat nový e-mail. Ale když změním OpenID, jde z hlediska ostatních uživatelů o naprosto novu identitu. Úplně stejně, jako kdybych si já teďka na Abíčku založil nový účet. Přijdu o veškerou historii toho, co jsem napsal, nebudu moci editovat svoje vlastní blogy… Jenomže na Abíčku o změně identity rozhoduju sám (případně by o tom mohl rozhodnout správce portálu), ale s OpenID mohu být nucen identitu změnit (proti své vůli).

Ano, presne o to predani prace nekomu jinemu jde a prave diky nemu problem se zmenou OpenID nezustava. Pokud zmenim sve skutecne OpenID, nemusim obihat vsechny weby, kde jsem ho kdy pouzil, ale jdu pouze na jedno jedine misto, kam proste napisu sve nove OpenID - adresa tohoto jednoho mista se nemeni.

Jenomže tím vyřeším jenom to, že nemusím jednotlivé weby obíhat. Ale mou identitu to změní stejně, protože tou identitou je OpenID. Pokud u OpenID nejde o identitu, ale jenom správce hesel, pak je to jedno. Ale pak je OpenID kanón na vrabce…

[Eregon]

Nejspis jsme si nerozumeli. Rekneme, ze uzivatel ma identitu posk1.cz/A, ale misto ni chce zacit vyuzivat identitu posk2.com/B .

Jestlize se na webovou sluzbu prihlasuje primo jako posk1.cz/A (bez delegacniho meziclanku), pak musi prijit na web te sluzby a rict "ja, posk1.cz/A, nyni budu znamy jako posk2.com/B". V prostredi beznych webu (bez OpenID podpory) je to totez, jako kdyz se prihlasi loginem A a nastavi si, ze odted chce mit login B.

Pokud pouzije delegaci, tak to odpada, protoze vzdycky se na ten dany web prihlasi treba jako mujweb.cz/vetrnalhota/honziknovaku, coz je pro webovou sluzbu to hlavni a zakladni OpenID, takze je uplne jedno, pokud si uzivatel nahodne prepina spravce identity desetkrat denne skriptem v Cronu, ktery edituje to delegacni HTML.

Samozrejme tady nastava zavislost na adrese te delegacni stranky a jejim provozovateli, a to je presne to, o cem jsem mluvil, kdyz jsem rikal, ze je treba premyslet.

Je to jen o pravdepodobnostech a vlastnich financnich moznostech. Uzivatel muze mit pristup k webu v domene soutez-o-nejvetsi-bramboru-vetrne-lhoty-2008.cz, treba proto, ze jako dite sefa mistniho zemedelskeho druzstva udelal stranky pro prestizni pestitelskou soutez - pokud ale tuhle domenu pouzije pro delegaci sveho OpenID, muze pocitat s tim, ze do roka ma problem. Pokud chce byt nezavisly na pripadnych potizich nejakeho freehostingu, musi hledat dal - moznosti je spousta. Pokud se uzivateli neco nelibi, lze to vylepsit, az dojdeme k vlastni domene a HA clusteru, vse zajistovane obri hostingovou spolecnosti na zaklade pisemne smlouvy zahrnujici i obrovske garance a penale v pripade vypadku. Jen se pri tom nesmi zapomenout, ze financni narocnost bude vzdy odpovidat dosazene mire nezavislosti a spolehlivosti.

Tzn. jako v pripade jakehokoli jineho reseni.

[Filip Jirsák]

Jestlize se na webovou sluzbu prihlasuje primo jako posk1.cz/A (bez delegacniho meziclanku), pak musi prijit na web te sluzby a rict "ja, posk1.cz/A, nyni budu znamy jako posk2.com/B". V prostredi beznych webu (bez OpenID podpory) je to totez, jako kdyz se prihlasi loginem A a nastavi si, ze odted chce mit login B.

Což ale předpokládá, že si ten server vede nějaké informace o účtech, a že tedy je co přejmenovávat. Pak ale OpenID není nic jiného, než správce hesel.

[Eregon]

Pokud si ten server neeviduje pouzita OpenID, ktera v te evidenci je mozne v pripade potreby upravit, potom ani neexistuje ta historie, jejihoz prervani se obavas.

Ze to je spravce hesel, to pravda neni, uz proto, ze se sam stara o overeni identity, ale dejme tomu, ze z hlediska uzivatele tenhle rozdil neni videt, takze se o to nehodlam dal dohadovat. I tak ale porad nechapu, co Ti na tom tolik vadi?

[Filip Jirsák]

Tak schválně, vezměme si to konkrétně – jak by vypadalo OpenID tady na AbcLinuxu.

První varianta – jsem již registrovaný uživatel, mám zde svůj login. Přínos OpenID pro přihlašování veškerý žádný, přínos OpenID pro identifikaci uživatele, pokud by OpenID bylo vypisováno spolu s údaji o uživateli, by teoreticky mohl existovat – mohl bych si teoreticky ověřit, že uživatel Franta Novák vychvalující tady Linux a Franta Novák, který na Živě na Linux hází špínu kudy chodí, jsou jedna a tatáž osoba. Tahle identifikace napříč jednotlivými weby by byla jediná rozumná věc, kterou bych na OpenID viděl, s tímhle využitím ale evidentně nikdo nepočítá. A s tímhle využitím by taky byl problém právě při „ztrátě identity“ – protože k důvěryhodnosti identity tady na Abíčku rozhodně přispívá i fakt, že si můžu přečíst, co psal dotyčný před několika lety. Co napsal od poslední změny OpenID rozhodně tak zajímavé není.

Druhá varianta – chci se zaregistrovat. Musím stejně projít celým procesem registrace, některé hodnoty budu mít možná předvyplněné z OpenID, předtím jsem ale zase musel potvrdit, že je Abíčko může dostat. Při dalším přihlašování žádná výhoda, jako bych se zaregistroval bez OpenID. Kdyby se používali (případně doplnily další) standardní názvy polí pro registrační formuláře, aby je mohl předvyplnit rovnou prohlížeč, byl by efekt stejný, s daleko jednoduššími prostředky a bez rizika bezpečnostních problémů.

Třetí varianta – nechci se přihlašovat, chci přispět jako nepřihlášený uživatel. Bez OpenID – vyplním jméno/přezdívku, projdu antispamovou kontrolou a napíšu dotaz/komentář. S OpenID – vyplním OpenID, povolím Abíčku stáhnout si přezdívku, projdu antispamovou kontrolou, napíšu dotaz/komentář. Kromě odbočky ke správci OpenID a zpět žádný rozdíl.

A co mi na tom vadí? Vzhledem k tomu, že to nemusím nikam implementovat, nevadí mi na tom nic. Zajímalo by mne ale něco jiného – je to opravdu jenom implementace čehosi zbytečného a nedotaženého, nebo je to fakt k něčemu dobré?

[Honza Jaroš]

No, ono to kromě toho všeho umí i ověřit heslo, čili máte pak (mimo ostatních věcí) jednotné heslo pro přihlášení na více webů...

[Filip Jirsák]

Hm, tak to můj prohlížeč si umí hesla pamatovat, takže to nepotřebuju. A že bych přistupoval tak často z různých počítačů k nejrůznějším zaheslovaným stránkám, abych si to užil, to se taky říct nedá. Navíc to pořád řeší seznam hesel někde na klíčence, nebo pod heslem na serveru, třeba v e-mailu…

[Honza Jaroš]

No vidíte, já například průběžně dělám na třech různých počítačích, podle toho, kde zrovna jsem. Hesla na klíčence apod. jsou docela opruz, věřím, že spousta lidí nakonec raději skončí u univerzálního hesla používaného na všechny méně důležité weby. OpenID tohle celkem elegantně řeší - otázka samozřejmě je, jak moc je tenhle protokol odolný proti útoku, tím si stále nejsem příliš jistý.

Jinak - zkusil jsem teď tu delegaci a skutečně to funguje tak, jak jsem psal. Udělal jsem si testovací účty na openid.cz a na myopenid.com, stránku pro delegování na svém webu a zkusil se přihlásit na http://wikitravel.org/, kde podpora OpenID funguje. Jako své OpenID jsem zadával http://download.jerryweb.info/openid/ a v závislosti na tom, co bylo zrovna nastaveno v hlavičce této stránky, si wikitravel.org ověřoval heslo a tahal údaje buď z jednoho, nebo z druhého OpenID serveru.

[Let_Me_Be]

Naprosty souhlas a hlavne OpenID neni neco co ma nahradit normalni prihlasovani na web, ma to byt alternativa. Budto se zaregistrujes normalne nebo mu reknes svoje OpenID a povolis mu pristup k tvym udajum (pripadne si vyberes jak moc velky pristup ma mit).

Byt proti tomu je jako byt proti vice plocham na Linuxu. Proste nekdo to vyuzije, nekdo ne. Uzitecne to ale urcite je.

[Filip Jirsák]

Je to alternativa, ale alternativa složitější na implementaci, náchylnější k bezpečnostním chybám, náročnější o nutnou spolupráci více subjektů, přičemž výpadek každého z nich znamená nemožnost se přihlásit. Navíc to není alternativa registrace, ale jen alternativa zadání některých údajů při registraci – údaje, které nezjistí z OpenID profilu, si musí server při registraci stejně zjistit od vás, captcha testem vás stejně musí prohnat.

Takže podle mne by to bylo užitečné jenom v ideálním případě, kdyby všechno fungovalo ideálně přesně podle představ autorů OpenID. Ale to se asi očekávat nedá.

[Let_Me_Be]

O tom zadna ale porad je to lespi nez mit na dvaceti webech stejne heslo. Ma sice single point of failure, ale na rozdil od klasicke varianty si muzu vybrat kde ho budu mit.

[Eregon]

Uz jsem to psal driv a ostatni tady taky odpovedeli - neni to uplna nahrazka za prihlasovani a neni to nutne pro kazdeho. Pokud nekdo v 99% pripadu sedi u jednoho pocitace, kteremu muze verit a kde ma sveho oblibeneho spravce hesel, pak OpenID urcite nevyuzije.

Pokud ale nekdo to stesti nema (a je takovych lidi na svete dost) a musi pouzivat ruzne pocitace, pak je OpenID dobra volba (nikdo nerika ze nutne nejlepsi a nikdo nerika ze nutne jedina) - k tomu je to dobre.

Ten seznam hesel ulozeny nekde v emailu (nebo treba na papirku v penezence) - myslim, ze kdyz vedle nej postavime OpenID, tak se dostaneme k necemu podobnemu, jako je DNS vedle /etc/hosts - taky je to rozumne pouzitelne pro hodne maly pocet zaznamu, pak uz je rezie udrzby a pouzivani prilis velka. U OpenID aspon nehrozi, ze si heslo ulozene v emailu (s dvaceti dalsimi hesly) precte nahodny kolemjdouci.

Z tohoto pohledu ano, je to spravce osobnich informaci, od ostatnich se ale lisi v tom, ze je to (afaik) jedine decentralizovane a server-side reseni zaroven.

[Filip Jirsák]

Myslím, že i pokud někdo sedí v 99 % případů u třech počítačů, může použít nějaké sdílení nebo synchronizaci hesel. Seznam hesel uložený v e-mailu je nouzové řešení – ona to klidně může být webová aplikace, kam se přihlásím heslem, a která mi zobrazí to jediné heslo (a ani ho nemusí zobrazit, ale jen ho nakopíruje do schránky). A to ji ještě použiju jenom u cizího počítače – na počítači, který používám pravidelně, mi tohle udělá automaticky rovnou prohlížeč. Stejně musíte něco takového mít pro servery, které OpenID nepodporují (a kterých bude spousta).

Ono totiž když popíšete OpenID jako správce osobních informací, který je určen pro uživatele, kteří často střídají různé počítače (tj. ne tři profily doma, v práci, ve škole, ale počítače, kde nemohou mít uložený svůj profil), a ještě ke všemu to je závislé na tom, zda server podporuje OpenID, tak to celé OpenID přestává být zajímavé. A ona decentralizovanost a komunikace serverů je tam jenom zbytečnou zátěží.

Vždyť pokud často používáte různé počítače, musíte řešit třeba i synchronizaci / vzdálené umístění záložek prohlížeče. Vyřešit stejným způsobem i hesla je maličkost, a nebudete tím omezen jenom na servery, které OpenID podporují, a nebudete závislý na tom, jestli zrovna váš poskytovatel OpenID nemá výpadek.

[xkucf03]

OpenID mi nyní připadá ještě více k ničemu.

Ten koncept (důvěryhodná třetí strana) je super z několika důvodů. Pokud bych měl mít k OpenID výhrady, tak k tomu, jak funguje technicky uvnitř. Taky jsem se rozhodl přilít trochu oleje do ohně: OpenID - distribuovaná autentizace Jsou i jiné technologie podobné OpenID a možná i lepší, možná...

[Eregon]

Jak potom může být to ID jen jedno, když každý bude mít svou databázi?

Zhruba stejne, jako u jabberu?

[freshmouse]

Tak to už potom vůbec nechápu, jak by se docílilo jednoho ID. Někam napíšu svoje ID "example.com/freshmouse"... Když změním poskytovatele ID, tak tam ale pořád bude "example.com/freshmouse". "freshmouse" mi sice zůstává, ale už ne ten poskytovatel.

[Eregon]

A kdo mluvi o tom, ze to je jedine ID na vecne casy? Jedine, o co jde, je, ze si nemusis po kapsach nosit papirky s tisicem prihlasovacich jmen a hesel - nove technologie ala spravce hesel jsou sice uzasne, ale ne kazdy ma to stesti, ze se vzdy a za vsech okolnosti muze pripojit prave ze sveho PC - prave pro tyhle lidi je OpenID urceno. Kdyz mas moznost pouzit spravce hesel, tak pocitam, ze Ti OpenID nikdo nutit nebude.

Chtelo by to obcas jit ven, pokud mozno ve dne, a setkat se s jistou damou, ktera si nechava rikat Realita.

Btw. kdyz bude centralni databaze, tak s taky poskytovatele nevyberes

A jeste jednou btw. nemyslim, ze by byl az takovy problem nastavit si DNS zaznam na vlastni domene, treba openid.cerstvamys.de tak, aby ukazoval na DB zvoleneho provozovatele. Kdyz se Ti provozovatel znelibi, proste zmenis DNS zaznam. Nebo je pro Tebe velkou prekazkou i to, ze bys si nekdy mohl chtit koupit novou domenu?

[freshmouse]

Jedine, o co jde, je, ze si nemusis po kapsach nosit papirky s tisicem prihlasovacich jmen a hesel - nove technologie ala spravce hesel jsou sice uzasne, ale ne kazdy ma to stesti, ze se vzdy a za vsech okolnosti muze pripojit prave ze sveho PC - prave pro tyhle lidi je OpenID urceno. Kdyz mas moznost pouzit spravce hesel, tak pocitam, ze Ti OpenID nikdo nutit nebude.

Uživatel dvh dole zase říká, že ano (že stejně potřebuješ víc přístupů). Mně se zdá, že OpenID nechápe skoro nikdo, včetně mě.

[J]

Mně se zdá, že OpenID nechápe skoro nikdo, včetně mě.

Poslouchas se vubec?

[Eregon]

Ty mas dneska dost. OpenID ze sve podstaty sjednocuje login udaje pro jednu identitu. dvh pise jasne, ze bezny uzivatel na netu vystupuje pod vice identitami a proto bude mit vice OpenID a pouzivat je podle toho, jestli zrovna chce vystupovat jako Jan Novak z Vetrne Lhoty nebo jako TajemnyMstitel427.

Ono mu pravdepodobne nic nebude technicky branit ani v tom, aby se s jednim OpenID prihlasil na server A, kde bude znam jako Jan Novak, a zaroven na server B, kde bude znam jako TajemnyMstitel427 - neudela to ale nejspis proto, aby nebylo tak jednoduche dohledat spojeni mezi obema identitami.

Toto je celkem bezne chovani vsude na netu, pokud Ti to unika, tak to znamena bud to, ze jsi uplne mimo, nebo se proste jen chces hadat. V obou pripadech ale nema smysl v tehle debate pokracovat, aspon pro me ne Bude urcite lepsi, kdyz si nejdriv zjistis, jak to cele funguje, a az pak na to budes nadavat).

[xkucf03]

Mně se zdá, že OpenID nechápe skoro nikdo, včetně mě.

V článku na svém serveru mám i obrázky, třeba to pomůže

[Pravák Bob]

OpenID by měl být ve formátu URL, ne? Něco jako xyz.openid.com, kde je určen i openid server.

[r]

id nebude jen jedno, bude jich tolik kolik si jich zalozis (at uz u vic openid poskytovatelu, ci na svych domenach)

imo je to cele pycovina, je to to stejny jak kdyz mam nekde login ve tvaru mailu - bud mam jeden pro vsechny servery a nebo vic... tohle akorat tak mozna usnadni vyplneni dalsich udaju pri registraci do nejake te sluzby co to podporuje (coz je pro me osobne taky na nic, kdyz ne vsude mam stejne informace)

proste dalsi blbost, ktere se vsichni chytaji :( (ale velke firmy spolehaji asi na to, ze si vetsina lidi zalozi jedno id [treba u nich] a to bude pak vsude pouzivat)

[ajikdpoe]

Si s prepacenim uplne mimo.

1. Je to decentralizovane. Priblizne ako jabber. Mozes mat vlastny OpenID certifikacny server. OpenID NIE JE klikacie rozhranie k 1 spolocnej databaze.

2. Kazdy normalny clovek bude mat maximalne 2 OpenID. Jedno na normalnu pracu (gmail, abclinuxu, root.cz, zive.cz, ...) a druhe na ilegalnu cinnost (stahovanie detskeho porna, torrenty, nadavanie na politikov...)

3. Kazda stranka pouziva ine meno a ine heslo, prezentuje ta pod jedinim open ID. Cize ak by abc a root podporovalo OpenID tak sa (interne) prihlasuje na root jednym meno a heslom, na abclinuxu druhym menom a heslom, ale v html stranke (aj na root, aj na abc) v kolonke "Autor prispevku" sa zobrazi tvoje OpenID ktore typicky je uplne ine ako obe mena a hesla ktorimi si sa prihlasil na abc a root (ale fyzicky s tymito menami neprides do styku, pouzijes len OpenID)

4. Hacknutie. Dajme tomu ze pouzivas tvoje OpenID na tieto stranky:

abclinuxu.cz
root.cz
freeporn.com  <-- toto je dajme tomu podvodnik

Podvodnik (admin na freeporn.com) si pozrie tvoje meno a heslo ale je mu na nic, lebo sa s nim moze prihlasit len na freeporn.com, na abclinuxu ani root sa s tym neprihlasi.

5. Jedina nevyhoda, stranky musia tuto funkcionalitu podporovat (niekto to musi naprogramovat)

6. Musis si vybrat spolahliveho providera tvojho OpenID alebo pouzit vlastny server

[r]

2. Kazdy normalny clovek bude mat maximalne 2 OpenID.

omfg a proc zrovna *jen dve*? ...

vypada to, ze se v tom vyznas - tak me rekni, co se stane, kdyz nekdo hackne meho poskytovatele openid (ci muj hosting, kde si to budu provozovat sam)? ziska tim pristup do vsech mych sluzeb? imo j... hm, uz se tesim az tohle zacnou pouzivat eshopy ;)

[ajikdpoe]

>> omfg a proc zrovna *jen dve*? ...

Lebo stahovat porno s nickom JanNovak@openid.cz nie je dobry napad, na to budes mat JohnTheRipper@openid.cz, proste jedno id na slusle veci a druhe na veci o ktorych nechces aby vedeli priradit k id fyzicku osobu, viac ako 2 teda nema zmysel

[freshmouse]

2. Kazdy normalny clovek bude mat maximalne 2 OpenID. Jedno na normalnu pracu (gmail, abclinuxu, root.cz, zive.cz, ...) a druhe na ilegalnu cinnost (stahovanie detskeho porna, torrenty, nadavanie na politikov...)

OpenID slibuje jen jedno ID.

3. Kazda stranka pouziva ine meno a ine heslo, prezentuje ta pod jedinim open ID. Cize ak by abc a root podporovalo OpenID tak sa (interne) prihlasuje na root jednym meno a heslom, na abclinuxu druhym menom a heslom, ale v html stranke (aj na root, aj na abc) v kolonke "Autor prispevku" sa zobrazi tvoje OpenID ktore typicky je uplne ine ako obe mena a hesla ktorimi si sa prihlasil na abc a root (ale fyzicky s tymito menami neprides do styku, pouzijes len OpenID)

Jestli to tedy chápu správně, tak OpenID není o přihlašovacích údajích. Potom je to ale ve sporu s openid.net, kde se píše: "With one OpenID you can login to all your favorite websites and forget about online paperwork."

Podle tebe (jestli tomu rozumím) je tedy OpenID jen jakýsi "univerzální profil". Jeho význam chápu ještě méně.

[rADOn]

Cerstvy mysaku, tentokrat jsi uplne mimo. OpenID je neco jineho nez si myslis a funguje jinak nez si myslis.

[freshmouse]

Uznávám, byl jsem mimo, ale teď, co jsem to snad pochopil správně, mohu říct jedině: OpenID je ještě větší nesmysl, než jsem si myslel předtím...

[KS]

Když tomu nerozumím, tak na to budu alespoň nadávat.

[Věroš]

Opravník obecně oblbených omylů o OpenID

[petr_p]

OpenID používat budu, ale jen za účelem, abych nemusel psát stejné jméno a heslo opakovaně. Budu jej používat tam, kde mi spojitelnost pseudonymů nevadí (např. desítky systémů na sledování chyb). Zcela paradoxně se zvýší bezpečnost, protože heslo, které bude znát každý server, bude pokaždé jiné.

Kde by mi vadila stejná identita, vytvořím si nové ID. Samozřejmě v rámci zdravé paranoje si budu provozovat server vlastní.

Tam, kde by nevýhody převážily nad nevýhodami (např. výpadek OpenID serveru), samořejmě zůstanu u klasiky.

[Ondřej]

Koukám, že většina lidí vůbec netuší o co jde. Takže dám jeden příklad z praxe.
Flickr (vlastněný Yahoo!) je jeden z poskytovatelů OpenID. Zařídil jsem si tak OpenID ve tvaru http://www.flickr.com/photos/moje_jmeno.
Teď chci třeba napsat komentář na nějaký blog, např. na Blogger.com (vlastněný Googlem). Kvůli jednomu komentáři se mně nechce zařizovat si nový login na Blogger.com (ignorujme teď možnost psát tam anonymně). Blogger ale podporuje přihlášení pomocí OpenID. Takže jako login zadám flickr.com, Blogger mě přesměruje na Flickr, který se mě zeptá jestli se tam chci skutečně přihlásit a už můžu psát.