Jak v Mladé frontě (živě.cz) nepochopili OpenID (diskuse)

[Karel]

Šulini

[mustafa]

Misto remcani na diskuzich bys mel poslat bugreport jako spravnej uhrouslinuxak! Tak.

[pavlix]

Misto remcani na diskuzich bys mel poslat bugreport jako spravnej uhrouslinuxak! Tak.

Asi tedy nejsem správnej uhrouslinuxak :).

[rtalalal]

protoze jsi jen vysirac. by me zajimalo jestli na vsech webech tvoji akciovky funguje oid spravne?

[pavlix]

protoze jsi jen vysirac

Hlavně, že ty jsi king.

[tralala]

o tom to sice neni, ale kdyz jinak nedas tak ano, ja jsem king.

[SPM]

Takovejm trapákům jako ty nedá nikdo ;)

[tralala]

nevim, jsem impotent

[pavlix]

:)

[jozka]

Jestli budes psat blog pokazde, pokud na lzive neco nepochopi, mas zadelano na peknej serial

[pavlix]

Dostal jsi mě.

[belisarivs]

[kralyk z abclinuxu]

[aasdfasdf]

tyjo, mam pocit, ze neco takovyho sem zazil snad u poloviny webu kdyz sem si s openid hral... tim to u me skoncilo

[pavlix]

Já jsem teda takovouhle blbost ještě neviděl u žádného webu a to jsem si s openid hrál, ještě když to skoro nikdo neznal.

[otula]

To je vcelku přirozené a funguje to obecně. Takže když zrovna například openID začínalo, bylo možno ho vyzkoušet jen u nadšenců, kteří tomu rozuměli a na zkoušku implementovali. Dnes, když tomu "rozumí" kdejaký blbec, tak to podle toho vypadá. Když jsem začal s Linuxem, také jsem čerpal jen informace z knih, a lidé, kteří ho používali, mu rozuměli. A dnes ho používá kdejaký trouba, který má problém ve chvíli, když něco nejde naklikat.

[AsciiWolf]

+1

[miho]

Však tam můžeš nakopírovat náhodný řetězec a hned ho zapomenout. Pokud se budeš hlásit _pokaždé_ přes OpenID, tak to heslo nebudeš potřebovat.

[SPM]

jo, to je takovej spíš workaround :) na druhou stranu ono nahákování OpenID do systémů, co na něj nebyly dělaný, může být lehce problematické...

[pavlix]

Však tam můžeš nakopírovat náhodný řetězec a hned ho zapomenout. Pokud se budeš hlásit _pokaždé_ přes OpenID, tak to heslo nebudeš potřebovat.

Myslím, že jejich server je vhodnější ke generování náhodných řetězců, než uživatel.

[Marek Lutonský]

Po pravdě: jsme trochu rádi, že jsme to celé stihli v termínu. Místnímu účtu se nevyhneme, na tom jsou naše weby postavené, ale o možnosti jeho automatického vytvoření po prvním přihlášení přes mojeID/OpenID uvažujeme. Zatím stačí vymyslet si libovolné heslo, už ho stejně nebudete muset nikdy použít, ale uznávám, že to je zbytečný krok. Zkusíme s tím něco udělat.

Spíš jsem čekal, že nám někdo dá sežrat, že se na naše weby nedá přihlásit účtem Googlu, který svým způsobem OpenID taky podporuje. Jenže bohužel svým způsobem.

[youngest]

není to uplně špatná logika. . co kdyby se za čas ukázalo, že mojeid/open id nebude MF vůbec používat? co pak s těma všema účtama v databázi?

[pavlix]

Co s účtama, které neměly nikdy nastavené heslo? To samé, co se dělá s účtama, kde si uživatelé heslo nepamatují. Řešení zadarmo.

[pavlix]

Po pravdě: jsme trochu rádi, že jsme to celé stihli v termínu. Místnímu účtu se nevyhneme, na tom jsou naše weby postavené

Nutnost založení místního účtu je každého věc, to nekritizuju.

Zatím stačí vymyslet si libovolné heslo, už ho stejně nebudete muset nikdy použít, ale uznávám, že to je zbytečný krok. Zkusíme s tím něco udělat.

Popravdě jste mě příjemně překvapili, nečekal jsem vůbec žádnou reakci, natož nápravu.

Spíš jsem čekal, že nám někdo dá sežrat, že se na naše weby nedá přihlásit účtem Googlu, který svým způsobem OpenID taky podporuje. Jenže bohužel svým způsobem.

Co je na jejich způsobu tak odlišného? Nezkoumal jsem to.

[Salamek]

prakticky nic, jen misto prihlasovnai svym loginem na google se prihlasujes na:
https://www.google.com/accounts/o8/id probehne presmerovani na google a tam se prihlasis jako obvykle, pote probehne presmerovnai z5 na puvodni web a pokracovani v integraci uctu/prihlaseni...
muzes si vyzkouset na http://www.sg1-game.net/ mame tam OpenID i google i vlastni prihlasovani (web uz trochu zastarava a uz jsem na to delsi dobu nesahl takze to snad jeste funguje )

[Salamek]

radsi to zkus na tehle nove nedodelane verzi http://ruzne.sg1-game.net/sg1/, funguje to o poznani lepe (opraven bug s mojeID + osetrene vyjimky)

[pavlix]

Testnul jsem to spíš ze zvědavosti s OpenID (pavlix.net), ale co mě zajímá víc, je jestli Google nějak porušuje či obchází specifikaci.

[Marek Lutonský]

Nemyslel jsem autentizaci přímo prostřednictvím Googlu (třetí záložka na tom webu). Ale to, že účet Googlu (e-mailová adresa) by se měl dát použít jako identifikátor v poli OpenID. Viz http://code.google.com/intl/cs-CZ/apis/accounts/docs/OpenID.html

Nefunguje to ale běžným způsobem. Viz http://neosmart.net/blog/2008/google-doesnt-use-openid/

[pavlix]

Což o to, jestli Googlu vadí, že OpenID funguje jen na HTTP adresy a ne na mailové, tak mě osobně takový požadavek přijde naprosto rozumný. Doufejme, že se to srovná a časem Google a oficiální specifikace budou kompatibilní.

[Josef Kufner]

Cituji z diskuse pod odkazovaným článkem:

Very poor article, spreading FUD (fear, uncertainty, and doubt). Google in fact is a perfectly legit OpenID 2.0 implementation. The email address logging in is a natural fallout of a good OpenID 2.0 RP implementation and works on lots of RPs already for any email provider that also uses the OpenID directed identity feature. No OpenID extension is even required. (Andrew Arnott)

[Marek Lutonský]

Ještě tohle: http://openid-provider.appspot.com. Na této stránce se přihlásíte účtem Googlu, získáte identifikátor typu „http://openid-provider.appspot.com/emailovaadresagooglu“, to zadáte do pole OpenID... Není to zrovna user friendly.

U nás to pak skončí na tom, že potřebujeme od OpenID získat e-mailovou adresu (jedinečný identifikátor pro náš místní účet), což nám Google nepředá.

Přihlašování přímo přes Google nebo Facebook ještě máme v plánu dodělat.

[Honza Jaroš]

No v mém případě by vám to nepředalo ani MojeID, protože tyhle informace jim předat jednoduše nepovolím. Pro přihlášení k různým službám si generuju pod svojí doménou různé adresy (abych je mohl snadno zlikvidovat v případě, že mě někdo začne SPAMovat) a svojí "oficiální" adresu prostě dál nedávám...

Nemůžu si pomoct, jednoznačným identifikátorem by podle mého soudu mělo být OpenID samotné...

[Marek Lutonský]

V takovém případě byste se u nás nepřihlásil. Kdybychom stavěli web od začátku, tak by se to asi dalo udělat, ale tohle je teď roubování nové autentizace na hotový a fungující systém. A úplně jsme to rozkopat nemohli.

Když nám neřeknete, že chcete něco dostávat, tak vám nikdy žádný e-mail nepošleme. Snad s výjimkou nějakých servisních, což se za posledních pět let stalo asi dvakrát - když se slučovaly dvě uživatelské databáze a když se oddělovaly slovenské weby do samostatné firmy.

[Honza Jaroš]

No to mi je jasné, že bych se nepřihlásil.

Ne že bych o to stál, jen jsem to zkoušel, když už se tu o tom píše. Ono by stačilo tam v takovém případě umožnit adresu zadat ručně. Prostě abych to zkrátil - shoduju se s původním článkem, že váš způsob implementace je podle mě poněkud... nešťastný. Ale nepláču pro to, stejně bych tam nechodil. Doufejme, že tam, kde by mi to skutečně vadilo, budou případně méně zvědaví na věci, do kterých jim podle mého soudu nic není...

[Marek Lutonský]

Tak článek správně vytýká, že při vytváření nového účtu bylo nutné zadávat heslo. Vy byste to ještě chtěl zkomplikovat - musel by se zadávat e-mail, přestože je v identitě uložen. Asi to nikdy neuděláme tak, aby byli všichni spokojeni, postupně se tomu snad jen budeme blížit.

[Honza Jaroš]

Dobře, tak jinak: OpenID obvykle umožňuje uživateli vybrat, které informace z účtu chce dát dál a které ne. Vy toto nerespektujete. Jak jsem psal, pokud je nějaká informace povinná, považoval bych za rozumné umožnit uživateli zadat tuto informaci ručně. Už proto, že ani OpenID server ji nemusí znát, může klidně fungovat jen s přihlašovacími údaji bez ničeho dalšího.

Nebo - jen tak pro zajímavost - naopak může dávat uživateli možnost vyplnit tam při každém přihlášení jinou adresu, záleží na implementaci serveru. Pokud by se podobné móresy, jako máte vy, začaly šířit, holt bych si asi takto fungující server byl nucen napsat.

Ve všech ukázkách na toto téma, se kterými jsem se setkal, než jsem OpenID sám poprvé použil v některé své aplikaci, byly informace o uživateli načtené z OpenID používány jen pro předvyplnění případných registračních údajů, takže šly změnit a zbytek se kdyžtak vyplňoval ručně. To je podle mého správný postup, protože nikdy nemáte zaručeno, že vám server pošle vše, co požadujete. Stačí tohle vzít v úvahu...

Ale jak píšu, je to váš boj. Já vás jen upozorňuju na to, co je podle mého soudu problematické. Berte to jako bugreport a pokud to i nadále považujete za vlastnost a ne za chybu, zmuchlejte to a hoďte do koše...

[SPM]

Dobře, tak jinak: OpenID obvykle umožňuje uživateli vybrat, které informace z účtu chce dát dál a které ne.

Naproti tomu zase v tom OpenID požadavku jsou specifikované věci povinné a věci volitelné. Pokud uživatel odmítá sdělit svůj email, který je uvedený jako vyžadovaný, tak holt musí počítat s tím, že se nepřihlásí. Nejsem si jist, jestli duplikování profilových informací na každém serveru v to nevnese ještě větší zmatek - to je snad lepší křičet za to, aby email nebyl u OpenID identit vyžadován...

OpenID používány jen pro předvyplnění případných registračních údajů, takže šly změnit a zbytek se kdyžtak vyplňoval ručně. To je podle mého správný postup, protože nikdy nemáte zaručeno, že vám server pošle vše, co požadujete.

No jo, jenže pokud to pak jen uloží u sebe a už se OpenID na nic neptají, tak je to zase řešení napikaču :) Jedna z velkých výhod OpenID zmizí - jednotná identita. Když si pak nechám změnit jméno nebo si uvědomím, že jsem se narodil o rok dříve, tak si sice hezky upravím identitu u OpenID providera, ale pak budu muset navštěvovat zase tyhle weby a upravovat to tam samé, ikdyž si to mohlo z OpenID líznout samo...

[pavlix]

Jestli si dobře pamatuju, tak i obyčejné MojeID tě nechá vybrat, který e-mail chceš poslat... takže pokud stejně plánuješ nějaký vyplnit, tak není důvod ho vyplňovat přímo, ne?

Když si pak nechám změnit jméno nebo si uvědomím, že jsem se narodil o rok dříve, tak si sice hezky upravím identitu u OpenID providera, ale pak budu muset navštěvovat zase tyhle weby a upravovat to tam samé, ikdyž si to mohlo z OpenID líznout samo...

Kolikrát už se ti to stalo? :)

[SPM]

Jop, pokud u identity providera jde zadat více mailů, tak by asi tazatel byl spokojen :) Nicméně ne všichni to umí... ale je to rozhodně lepší řešení, než ho zadávat ještě separátně na stránce.

Tak ženy obvykle tak jednou za život to jméno změní :) A pak je tam aspoň nějakej popis bydliště, který se taky časem může měnit...

[Honza Jaroš]

Ale vždyť se serveru dotázat můžou - ale měli by počítat s tím, že tu informaci holt nedostanou. Podpora rozšíření, pokud se nepletu, není povinná ani v OpenID 2.0 (opravte mě, jestli se mýlím, ale ať do té specifikace koukám, jak koukám, nikde o povinně implementovaných extensions nic nevidím), v základu prostě musí server umět ověřit identitu a pokud zvládá něco navíc, je to jen jeho dobrá vůle. Pokud si implementuju vlastní OpenID server zvládající jen ověřit heslo a nic víc, je to stále podle specifikace a přitom z něj nic dalšího než ověření identity nedostanete, protože to jednoduše neumí.

Jinak ty údaje se duplikují tak jako tak. I to Živě si mailovou adresu ukládá. A pokud jim OpenID server tuhle informaci pošle (čili uživatel to povolí a server to umí), můžou si jí automaticky aktualizovat podle libosti...

[SPM]

Ale vždyť se serveru dotázat můžou - ale měli by počítat s tím, že tu informaci holt nedostanou. Podpora rozšíření, pokud se nepletu, není povinná ani v OpenID 2.0 (opravte mě, jestli se mýlím, ale ať do té specifikace koukám, jak koukám, nikde o povinně implementovaných extensions nic nevidím), v základu prostě musí server umět ověřit identitu a pokud zvládá něco navíc, je to jen jeho dobrá vůle. Pokud si implementuju vlastní OpenID server zvládající jen ověřit heslo a nic víc, je to stále podle specifikace a přitom z něj nic dalšího než ověření identity nedostanete, protože to jednoduše neumí.

No, pak se může slovíčkařit o tom, jestli je přihlášení podporováno pomocí OpenID nebo pomocí OpenID s rozšířením :) Každopádně když už to provider umí a uživatel nechá poslat jenom některé údaje a to ne všechny povinné... no, každopádně mi přišlo trochu těžkopádné, aby se pak každý záznam, který uživatel zrovna neposlal, duplikoval a zadával ručně...

Jinak ty údaje se duplikují tak jako tak. I to Živě si mailovou adresu ukládá. A pokud jim OpenID server tuhle informaci pošle (čili uživatel to povolí a server to umí), můžou si jí automaticky aktualizovat podle libosti...

Pokud si to aspoň při přihlášení aktualizujou, tak to celkem jde... ale obávám se, že to většina těch serverů dělat nebude. Což mi přijde strašně škoda - udělat podporu pro OpenID vč. rozšíření a pak to použít jenom k tomu, aby se ty údaje při vytvoření účtu zkopírovali...

[Honza Jaroš]

Každopádně když už to provider umí a uživatel nechá poslat jenom některé údaje a to ne všechny povinné... no, každopádně mi přišlo trochu těžkopádné, aby se pak každý záznam, který uživatel zrovna neposlal, duplikoval a zadával ručně...

Hmm, zdá se, že jsme se zacyklili. Zrovna na linuxovém serveru bych čekal, že bude důležité hlavně jestli daná věc odpovídá specifikaci. Vynucování implementace konkrétních rozšíření může taky skončit tím, že se nepůjde přihlásit, pokud nebude provider implementovat JedinouSprávnouExetension^tm dostupnou jako placený patentově chráněný ISAPI modul pro IIS8...

[SPM]

No jo, ale specifikace týhle extension jsou přístupné a vydané těmi samými lidmi, tak snad až tak horké to není :)

[Honza Jaroš]

Jistě, nicméně - já vím, že už se opakuju - implementace není povinná. ))

[CET]

No nevim, me to pripada, jak kdyz nekdo napise "podpora LDAP" a tim mysli, ze se ucty z LDAP naimportuji do lokalni databaze.

To opravdu nemuzete upravit svuj system tak, aby proste misto username+password pouzival openID identifikator? Pak mate o jednu tabulku min.

[xkucf03]

Ono by úplně stačilo vygenerovat uživateli náhodné (nebo prázdné, na které se nejde přihlásit) heslo a nikde ho neuvádět a uživatele tím nezatěžovat. Když by heslo chtěl, tak si nechá poslat nové e-mailem nebo by se udělala možnost nastavení hesla po přihlášení přes OpenID (aniž by uživatel musel zadávat původní heslo, které nezná).

[miho]

Spíš bych to viděl na sloupeček v tabulce uživatelů, který říká, který účet je spárován s kterým lokálním účtem. 1:1 je záměr.

Ten uživatel tam v databázi musí být, takže se musí vytvořit (automaticky, nebo takto, že si může doplnit dodatečné údaje, které v MojeID databázi třeba nemá), to je myslím bez debaty. Když se vypisuje diskuze pod článkem, tak se s tou tabulkou musí joinovat.

[Salamek]

takhle nejak jsem OpenID implementoval ja a zatim se zda ze je to bezproblemu

[xkucf03]

Mě spíš štvou weby iinfa – pořád mne to tam odhlašuje, v nějakých náhodných intervalech, zatím jsem nevyzkoumal, čím to je. Takže na to už často kašlu a píšu jako anonym. Oproti tomu tady na Ábíčku funguje krásně všechno přes SSL a jsem přihlášený pořád

[robotics]

Hele, novinka na abclinuxu, sdílecí ikonky . Toho sem si ještě nevšiml.

[Václav HFechs Švirga]

Pry novinka . Je tu tak dva roky...

[sx]

udelejte konecne, neco s forem, moderatori, tam zneuzivaji sve pravomoce, a to nerikam jenom ja ale vidi a pocituje kdokoliv novy ktery se chce pripojit k vymirajicimu foru ale je mu to pravo upirano a je ponizovan. snad aspon open a moje ID pomuze k vic lidskemu chovani, protoze uz to nebude jen upirani nejakeho nicku ale konkretniho cloveka ktery se muze domahat vyuzivat svych prav svobody. tak treba jsem narazil na tohle http://forum.zive.cz/viewtopic.php?f=912&t=1145954&st=0&sk=t&sd=a&start=45 reseni? nechte na kazdou sekci fora, jen jednoho moderatora, to bohate staci, a nebo aby kazdou zmenu schvaloval i dalsi moderator, ale to by asi nepomohlo jelikoz vsichni jsou zajedno, jak se rika vrana k vrane seda, a ten ktery se vzepre, a chce byt objektivni a nezneuzivat svou moc jako napr. Dev, tak se vsichni do neho obuji, no nic, pepici uz jsou takovi, ze jinakomyslenkare jsou umlcovani.

[Karel -xY32]

nejlepší na tom je, že k tomu abysi jim mohl tuhle převratnou volbu vokomentovat, tak si do těch jejich diskují (týkající se i zavedení ID na zive.cz < vaů, jak převratná IT věc !) musíš založit registraci, jinak tě tam nepustí, ještě větší rozhořčení je jejich tzv. poradna a ty debilové, co nevědí nic o pc, jak tam radí + jejich admínci + Marek LuŁonský, což je mega-dement, z jehož mozku vyšlo právě tohle přihlašování přes MojeID, taky jsem to nepochopil, místo toho aby to zjednodušily, tak to je ještě složitější než předtím, proč se člověk nemůže přihlásit 1x, přes správce hesla z prohlížeče a nemá to pak dostupné všude na všech jejich webech, člověk aby se uklikal myší a to doslova, i když tam píšou takové dětské IT-žvásty že to pro pokročilého po chvíli nemá cenu ani číst

[Marek Lutonský]

[Marek Lutonský]

Nahoře jsem se uklikl, to měla být reakce na mého oblíbence, který se zjevně dostal i sem.

K původnímu tématu: Nyní už heslo není třeba zadávat. Chceme dojít až do stavu, kdy nebude nutné zadávat ani přezdívku, do místního účtu si ji to vezme z mojeID/OpenID, ale to asi nebude okamžitě.