Есть ли опасность в поддельных провайдерах OpenID?

27

Мне было интересно. Поскольку любой может запустить провайдера OpenID, а центральный орган, утверждающий провайдеров OpenID, не существует, почему поддельные провайдеры OpenID не станут проблемой?

Например, спаммер мог запустить провайдера OpenID с бэкдором, чтобы позволить себе проходить аутентификацию как любой другой пользователь, которого обманули при регистрации на его сайте. Это возможно? Репутация провайдера - единственное, что этому мешает? Будем ли мы видеть черные списки провайдеров OpenID и сайты обзоров провайдеров OpenID в будущем?

Возможно, я не совсем понимаю что-то про OpenID. Пожалуйста, просветите меня :)

amarillion
источник

Ответы:

16

OpenID НЕ является искробезопасным протоколом - он не может заставить мошеннического поставщика обеспечить безопасность, а также не проверяет каждого поставщика на предмет его безопасности.

OpenID - это механизм, с помощью которого вы можете хранить свои учетные данные у доверенного поставщика, и они будут проверять вас другим.

Если вы выберете ненадежного провайдера, он сможет увидеть и использовать все, для чего вы можете использовать свои учетные данные.

OpenID не является заменой для доверия.

-Адам

Адам Дэвис
источник
Но не требуется ли неявное доверие для работы системы? Если я принимаю учетные данные Google и Yahoo OpenID, и один из них становится ненадежным, то не могу ли я сейчас оказаться в ситуации, когда я не могу поверить, что мои пользователи - это те, кем они себя называют?
duffbeer703
1
OpenID не предназначен для проверки того, что пользователь является чем-то для клиентского сайта. Все, что он делает, это говорит: «Человек, который входит в систему сейчас, - это тот же человек, который настроил здесь учетную запись -username- OpenID», что может быть полезно для централизованного отслеживания имени пользователя / пароля, но не гарантирует вам ничего об этом пользователе - просто у них были соответствующие учетные данные, так что поставщик OpenID соответственно убежден, что это они.
Адам Дэвис
Я использую openid в качестве уникальной идентифицирующей строки. Есть ли вероятность, что мошеннический провайдер предоставит мне тот же openid, что и какой-то законный пользователь другого провайдера, скажем, Yahoo?
Jus12
15

Это было бы почти так же, как наличие «фальшивого» провайдера электронной почты, который мог бы похитить письма с подтверждением пользователей и т. Д. Только репутация препятствует этому. Poeple зарегистрироваться на gmail.com или hotmail.com, но не зарегистрироваться на joesixpack.org.

Vartec
источник
Но они регистрируют одноразовые электронные письма на mailinator.com, и я ищу себе доступного поставщика openid; Мне нужно зарегистрироваться на дрянном сайте, который требует openId, и мне действительно все равно, чтобы зарегистрироваться под своим «реальным» G-аккаунтом или FB.
Дан3
0

Единственный способ, которым я вижу, что проблема заключается в "мошенническом" сервере OpenID, это не проблема безопасности веб-приложения. Однако то, что вы делаете, - это предоставление одного веб-сайта с вашей идентификацией. Они говорят людям, кто вы есть, но вы также имеете к ним доступ. Если злоумышленник устанавливает сервер OpenID и люди начинают его использовать, владелец вредоносной службы может выдать себя за любого, кто использует свой сервер.

Вопрос сводится к тому, доверяете ли вы владельцам своего сервера OpenID?

TrueDuality
источник
0

Моя проблема с OpenID в целом в том, что он новый, и нет никаких стандартов (о которых я слышал в любом случае), которые бы определяли, что делает «хорошего» поставщика OpenID. Для данных кредитных карт существуют стандарты PCI-DSS для управления информацией о кредитных картах, но нет эквивалента для идентификации.

Конечно, это новая технология, которая обычно используется для приложений с минимальными требованиями «доверия». Но на таких сайтах, как ServerFault, я думаю, что вам нужен уровень доверия, который выше, чем у блога, но меньше, чем у банка или онлайн-брокера.

duffbeer703
источник
Liberty Identity Assurance Framework - это одна из потенциальных платформ для оценки пригодности поставщика OpenID для ваших потребностей в области безопасности, но в настоящее время на рынке OpenID об этом мало что известно. projectliberty.org/strategic_initiatives/identity_assurance
keturn
0

Добавление к предыдущим ответам. Пока не знаю о черных списках OpenID, но есть волонтерская инициатива о белых списках OpenID . Этот белый список является распределенной технологией (так же, как электронная почта, DNS, сертификаты HTTPS), здесь нет единой точки отказа, нет единой точки доверия. Вы можете доверять белому списку парней, а он может фальсифицировать его.

Существует мнение, что эти белые списки должны быть расширены для предоставления дополнительной информации (конечно, никому), такой как активность пользователя, количество постов, количество предупреждений от модераторов и т. Д. Поскольку OpenID является глобальной идентификацией, это поможет почти мгновенно распространяю информацию, как этот пользователь спамер. Что заставило бы спаммеров всегда использовать новый идентификатор. Представьте себе, что 1000 репутации на ServerFault делают вас также надежным пользователем на тысячах других веб-сайтов.

temoto
источник
-2

Для тех, кто думает, что потребители OpenId должны позволить любому провайдеру OpenId быть аутентификатором, это просто сумасшедший разговор. Допустим, у вас есть список авторизованных пользователей, основанный на электронном письме от openid провайдеров. Некоторые мошенники настраивают свою собственную службу провайдера OpenId и знают адрес электронной почты одного из ваших ранее авторизованных пользователей. Затем этот мошенник может «аутентифицировать» себя как вашего принятого пользователя.

Если вы пытаетесь обезопасить себя с помощью openId, у вас должен быть белый список поставщиков, которым вы доверяете, в противном случае вы в значительной степени открыты для всех, кто знает, как настроить службу поставщика.

Трой Джордан
источник
3
Ваш ответ неверный. Это не то, как работает OpenID. Поставщик OpenID не передает адрес электронной почты пользователя обратно на сайт в качестве имени пользователя.
Longneck