Praktické skúsenosti s implemetáciou OpenID (diskuse)

[maleprase]

ad. bloguje.cz: neni to treba tak ze abych se mohl prihlasit musim mit blog a abych mel blog tak ho musim nechat vytvorit neboli zaregistrovat se a obracene proc se prihlasovat kdyz v systemu nejsem vedeny jako uzivatel a nemam v nem zadne data?

nebo by snad mely stranky pouzivajici openID k prihlasovaci akceptovat jakehokoliv uzivatele ktery ma zrovna nekde vytvoreny openid ucet? to snad ne ...

[Marek Bečka]

Samozrejme musíte sa zaregistrovať, rozdiel je v tom, že netreba u každého webu vymýšlať login a heslo.

[hikikomori82]

No ale prave ze tam si meno a heslo vymyslat musi. Inak sa nezaregistruje, OpenID na to nestaci.

[Marek Bečka]

Teda hovoril som o normálnej situácii :)

[pavlix]

To se mi nějak nezdá, buď používám login a heslo, nebo používám openid.

Ještě bych pochopil login a openid, v krajních případech, ale ne obecně.

[CEST]

No, u nekterych systemu to proste funguje jenom jako autentizace: system pro overeni uzivetele. Ale ne jako autorizace a identifikace uctu - coz je blby.

Existuje spousta systemu, ktery si proste user management resi po svym, protoze proste maji mysql tabulku users, kde je uzivatelske jmeno typu string 3-8 znaku [a-z] a nic jineho a dalsi tabulky jsou na tohle jmeno provazany pres nejaky ID, coz je cislo z ty tabulky users pro danyho uzivatele. Potom samozrejme tyhle systemy trebas umozni prihlaseni pres jinej system, ale rovnou si to prihlasovaci jmeno namapujou na svoje vlastni username.

Super by samozrejme bylo, kdyby username mohlo byt cokoliv, teda i openid. Pak by clovek prisel na stranku treba s nejakym OpenID a system by se ho zeptal "Chcete zalozit blog/schranku/... pod identitou http://franta-novak.openid-provider.dom?" a jako username by pouzil prave tohle openid.

lebo napr. openid.cz/janko ten môj kód neakceptuje (ale janko.myopenid.com ano), akceptuje http://openid.cz/janko alebo http://www.openid.cz/janko. Problém je že to isté vracia po autorizácii, teda ten istý uživateľ sa raz prihlási raz bez www raz s www. Účet http://janko.myopenid.com/ tam môže byť tiež 2x, raz s lomítkom na konci a raz bez neho. No proste bordel, OpenID servere nevracajú unifikované OpenID. Takže toto musíte nejak ošetriť.

Tohle je hodne velkej problem. Dokud to nebude skutecne jednotne fungovat, tak to bude asi docela problem. My ted v praci "experimentujeme" (na nekterych systemech uz to bezi) se SAML, konkretne SimpleSamlPhp a osobne muzu rict, ze instalace a konfigurace je opravdu trivialni. Pocatecne konfigurace sice trosku casu sezere, zvlast IdP je nutny trosku vic nakonfigurovat kvuli overovani identity, ale pridani dalsiho SP uz je jenom rozbaleni ZIPu, zkopirovani 4 souboru a uprava hostname na SP a IdP, a basedir na SP.

[pavlix]

Použití openid na autentizaci neni tak úplně blbý. Lepší než ho nepoužít vůbec a nutit uživatele do hesel.

[Let_Me_Be]

Neznate nekdo nejakou evropskou alternativu Verisign, ktera by poskytovala podobne bezpecnostni prvky?

[pavlix]

Naštěstí většina (žádné?) tvých problémů nevychází ze samotného konceptu OpenID.

Bloguje.cz jsem moc nezkoumal, měl jsem za to, že na komentování stačí mít openid. Na založení blogu je samozřejmě potřeba založit blog :D. Ale třeba se pletu.

Dlouhé trvání je vlastností konkrétních implementací a serverů.

OpenID řeší relativně složitý problém, takže jednoduchost při implementaci by byl příliš velký luxus. Zvlášť, pokud se člověk rozhodne pro PHP.