OpenID是一个有缺陷的概念吗？

Question

我不是在询问具体的实现,我不是在询问跨站点单点登录机制的全局世界观,我只是想知道社区对OpenID底层可用性的看法.您是否认为使用(由非技术观察员)发布的URL随机分类的提供者代替实际的用户名是人们更喜欢的东西？如果没有,有没有人有更好的机制？如果有足够的兴趣,我会跟进一个更一般的SSO问题.

Answer 1

没有.

我不认为这是根本上有缺陷的系统.在可用性方面,我认为它是有缺陷的,因为它偏离了常规,并且更难以习惯,即URL而不是用户名,必须选择提供者.但我认为它们是唯一的问题,可以并且正在做的事情可以改善它们(登录页面上的可用性调整,雅虎和谷歌提高了对这个想法的认识).

除此之外,我认为这是一个很棒的系统:

• 我记得一个帐号ID密码组合(我不需要依赖软件解决方案来解决许多ID->密码问题)
• 我去新网站时不需要填写表格,等待注册电子邮件确认.
• 如果我不信任OpenID提供商,我可以相对轻松地成为我自己的提供商,我个人认为这是标准的一项伟大成就.制作如此多才多艺的东西,而且(AFAIK)很容易对我来说,真的很棒.
• 当两个工作变得越来越困难时,它将建立网站的责任与密码存储和安全性分离开来.
• 我实际上并不太了解下一点,但我认为使用一个OpenID帐户来托管多个角色非常容易,这可以用于不同的网站,例如"那是我的工作角色,这就是我在注册时所呈现的内容对于ilovemyjob.com.这是我的朋友角色,我用它来表达facebook"和不同的角色有不同的信息.就像我说的那样,我不太了解这是怎么做的,或者说它为什么会有用......但我会发现它可能有什么好处.

这是我在OpenID中看到的主要好处.在缺点方面,存在可用性方面,我承认这是一个问题.人们用来批评OpenID的另一个主要观点是,如果帐户遭到入侵,那么许多登录都会受到损害.在我看来,这并不比目前使用电子邮件绑定帐户的系统更糟糕,这可能同样受到损害,并用于"忘记用户名？" 功能在很多网站上.我还想指出OpenID并不是要解决这个问题 - 它是多ID /密码问题的解决方案.但是,拥有一个密码可以获得更大的许可,可以不断更新它以增加安全性 - 无需依赖软件为您记住它,或者忘记所有时间.

所以,OpenID有它的问题,但我认为它是多ID /密码问题的一个很好的解决方案.

参考文献:
关于此主题的有趣Google Talk

Answer 2

是.

首先,选择提供者很困难.如果我是一个经验不足的用户,我会问"为什么我需要与X共享我的信息才能使用Y运行的网站？" 然后,一旦你克服了这一点,就必须选择信任谁.我个人与Verisign一起去了,因为我相信Verisign.但有些人可能从未听说过这些提供商中的一些,也无法做出明智的决定.

其次,登录很困难.我不必输入用户名,而是输入一个URL(尽管StackOverflow使您更容易选择提供者和提供者用户名,并为您创建URL).

第三,如果我的OpenID遭到入侵,那么我使用OpenID的网站上的所有帐户也会受到损害.有些人建议使用多个OpenID来克服这个问题,但我认为这会破坏OpenID的全部目的.

Answer 3

我无法理解对OpenID的焦虑.

我登录这个网站的经历(不可否认,这是我必须处理的唯一开放ID)很简单.我看到了OpenID所需要的东西,而且我有一个模糊的理解,我登录该网站将被委托给我信任且已经拥有ID的其他人.很低,有一个链接到我当前的在线电子邮件提供商的提供商.点击,按照一个简单的过程,我甚至不记得这样做.

现在已经建立了开放的id连接,它并不比我处理的任何其他网站更难,而且魔术是我没有必要将另一个帐户添加到我不知道我将要使用的网站再次,可能会忘记用户名或密码.

我喜欢它,概念和执行.

Answer 4

我以前说过,我可能会再说一遍,但URL的想法是一个根本上有缺陷的想法.他们应该使用电子邮件地址格式或者是username@service.com的Jabber格式.这将允许现有的电子邮件提供商提供ID而无需用户记住某些神秘的URL.

Answer 5

我认为对于此类问题，最好提出更具体的问题，而不是笼统的问题。

对于你的问题，我认为它没有缺陷，但你是对的，它可能不会吸引某些人。然而，一旦人们得到它，或者理解它，那么他们可能会更多地使用它。记住更少的密码当然是一件更好的事情，因为最终会使它们变得比应有的弱。