Open ID ดีกว่าระบบ LogIn ปกติหรือไม่ [ปิด]

เรากำลังพัฒนาระบบเว็บและกำลังพิจารณาใช้คุณสมบัติ Open Id คุณคิดว่ามันเป็นอะไรที่ดีกว่าวิธีการปกติของผู้ใช้เข้าสู่ระบบ? หากเราใช้ฟีเจอร์ Open Id นั่นหมายความว่าผู้ใช้จะถูกเปลี่ยนเส้นทางไปยังไซต์ที่พวกเขาเลือกจากผู้ให้บริการ Open Id ซึ่งจะดำเนินการเพิ่มเติม จากนั้นพวกเขาจะต้องลงชื่อเข้าใช้ที่นั่นและเปลี่ยนเส้นทางกลับมายังเว็บไซต์ของเรา ผู้ใช้จะรู้สึกพอใจกับสิ่งนี้หรือไม่?

หมายเหตุ: มันเป็นไซต์เครือข่ายโซเชียลมากกว่า แต่ไม่มีอะไรใหญ่โต

ฉันรัก OpenID และมันดีกว่าคำอุปมา "ดั้งเดิม" ต่อไซต์ ฉันไม่ต้องการข้อมูลประจำตัวเพิ่มเติมในการจัดการและฉันไม่ต้องการเชื่อถือเว็บไซต์ J. Random เพื่อจัดเก็บข้อมูลรับรองที่ฉันให้ไว้อย่างปลอดภัย ฉันคิดว่าผู้ใช้จะรู้สึกคุ้นเคยกับมันมากขึ้นเพราะมันกลายเป็นเรื่องธรรมดามากขึ้น หวังว่ามันจะกลายเป็นเรื่องธรรมดามากขึ้น

กรุณาชี้ให้เห็นว่าเราผิด

มุมมองเชิงลบ

• เราคิดว่าสำหรับผู้ใช้ทั่วไปอาจไม่ใช่วิธีที่ดีกว่า
• ผู้ใช้ที่มีความรู้ด้านเทคโนโลยีน้อยกว่าจะคิดสองครั้งหรือสับสน
• พวกเขาไม่คุ้นเคยกับมัน
• พวกเขาต้องใช้รหัสเปิดจากผู้ให้บริการบางรายซึ่งอาจสร้างความรำคาญให้กับพวกเขา
• พวกเขาอาจเกลียดเพราะพวกเขาจะถูกเปลี่ยนเส้นทางไปยังเว็บไซต์อื่น
• พวกเขาอาจเข้าใจผิด!

มุมมองเชิงบวก

• มันน่าเชื่อถือเพราะเราไม่ได้ขอข้อมูลประจำตัวของพวกเขา
• มันเร็วขึ้นเมื่อเข้าสู่ระบบ
• "เอาชนะการทำลายข้อมูลประจำตัว" มันยากมากที่จะติดตามจำนวนผู้ที่ข้ามไซต์เพราะพวกเขาปฏิเสธที่จะรักษาชื่อผู้ใช้ / รหัสผ่านอื่น - Kara Mafia

อย่าลืมว่าไม่จำเป็นต้องเป็น / หรือตัวเลือก คุณสามารถ (และอาจจะควร) เพิ่มการสนับสนุน OpenID นอกเหนือจากวิธีการลงชื่อเข้าใช้แบบเดิม สิ่งนี้จะไม่ทำให้ผู้ใช้ 'ทั่วไป' หวาดเสียว แต่พวกเขาเพียงใช้วิธีที่มีอยู่ในขณะที่ทำให้ชีวิตมีความสุขมากขึ้นสำหรับผู้ที่ใช้ OpenID

OpenID มอบข้อดีหลายประการให้คุณเลือกเพื่อให้คุณขี้เกียจกับการตรวจสอบสิทธิ์ การอนุญาตยังคงเป็นปัญหาของคุณ แต่อย่างน้อยคุณก็ไม่ต้องกังวลเกี่ยวกับการจัดเก็บข้อมูลรับรองอย่างปลอดภัย นี่เป็นสิ่งที่ดีในความคิดของฉัน 'net need more' ฝ่ายที่ต้องพึ่งพา 'เช่น serverfault

หากคุณเข้าสู่ระบบด้วย OpenID คุณจะต้องเข้าสู่ระบบของผู้ให้บริการเพียงครั้งเดียว - ครั้งที่สองผู้ใช้จะไม่เห็นหน้าของผู้ให้บริการ

นอกจากนี้RPXnowอาจจะน่าสนใจ

โดยส่วนตัวแล้วฉันได้ข้ามเส้นไปสู่ความรัก OpenID ฉันเคยทนต่อโรคนี้จากความหวาดระแวงทั่วไป ตอนนี้มันปวดมากเกินไปใน a $ เพื่อให้ทุกอย่างตรง ฉันยอมรับว่าผู้ใช้ที่ไม่ใช้เทคโนโลยีอาจต้องดิ้นรนในตอนแรก แต่ฉันคิดว่ายิ่งมีการแพร่กระจายกว้างมากขึ้นมันก็จะกลายเป็นความสะดวกสบายที่ผู้คนจะได้รับมากขึ้น บางไซต์มีทั้งระบบการรับรองความถูกต้อง (ท้องถิ่น) และตัวเลือกในการใช้ OpenID ฉันคิดว่าการศึกษาจะช่วยได้มากที่นี่ดังนั้นหากคุณอธิบายอย่างชัดเจนว่า OpenID คืออะไรและประโยชน์ที่ได้รับนั้นจะเป็นหนทางไกลไปสู่การยอมรับ

ในฐานะที่เป็นเทคโนโลยี Single Sign On (SSO) จะเปิดรับความเสี่ยงทั่วไปของ SSO ใด ๆ จากมุมมองนั้นฉันยังไม่พร้อมที่จะรวมเว็บไซต์ของธนาคารหรือสถานพยาบาลเข้าไว้ :) ไม่ให้พวกเขานำเสนอ ...

ฉันจะขว้างสิ่งนั้นด้วย OpenID คุณมักจะต้องการOAuthที่ได้รับการกดต่ำผิดกฎหมาย

คนอื่น ๆ มีเนื้อหาเกี่ยวกับ OpenID มากพอ OAuth เพิ่มเข้าไปในชุดที่เว็บไซต์อื่นไม่เพียง แต่รู้ว่าคุณเป็นใครผ่านผู้ให้บริการ OpenID ของคุณ แต่คุณยังสามารถบอกได้ว่าเว็บไซต์ดังกล่าวได้รับอนุญาตให้รู้เกี่ยวกับคุณ

• ต้องการอีเมลสำหรับรายละเอียดผู้ใช้
• ต้องการชื่อ - / นามสกุลสำหรับรายละเอียดผู้ใช้
• ต้องการประเทศ

อาจจะไม่เป็นไร เกี่ยวกับสิ่งเหล่านั้น:

• หมายเลขประกันสังคม
• หมายเลขบัตรเครดิต
• หมายเลขโทรศัพท์
• รหัสไปรษณีย์

ดังนั้นOpenID + OAuthจึงเป็นการผสมผสานที่ยอดเยี่ยมโดยการใช้ทั้งคุณไม่เพียงมีสถานที่เดียวในการเก็บชื่อผู้ใช้และรหัสผ่าน แต่ยังรวมถึงที่คุณเก็บรายละเอียดเกี่ยวกับตัวคุณและไม่สูญเสียภาพรวมเกี่ยวกับเว็บไซต์ใด

ฉันสามารถคิดเกี่ยวกับสถานการณ์เมื่อ OpenID จะได้รับผู้ใช้หลายคนทันที สมมติว่าเว็บไซต์หลักสูญเสียรหัสผ่านผู้ใช้นับล้านไปยังแฮ็กเกอร์ชั่วร้าย [*] และรายการรั่วไหลออกมา ผู้ใช้ส่วนใหญ่จะตื่นตระหนกไม่ใช่เพียงเพราะหนึ่งบัญชีเท่านั้น แต่เนื่องจากพวกเขาใช้ล็อกอิน / รหัสผ่านเดียวกันสำหรับหลาย ๆ ไซต์ และพวกเขาทำ ฉันรู้ฉันทำ และฉันไม่ได้ติดตามบัญชีเหล่านี้ดังนั้นผลลัพธ์คือฉันไม่สามารถเปลี่ยนรหัสผ่านได้

ตอนนี้เมื่อฉันรู้ว่าคนร้ายสามารถขโมยบัญชีของฉันฉันจะทำอย่างไร ฉันจะพยายามผ่านการเปลี่ยนรหัสผ่านอย่างล้นหลาม หรือฉันจะสะดุดแนวคิด OpenID และพยายามแปลงบัญชีเหล่านี้ในโอกาส นี่หมายความว่าฉันยังคงมีการเข้าสู่ระบบ / รหัสผ่านเดียวสำหรับหลายเว็บไซต์ แต่ตอนนี้ฉันสามารถเปลี่ยนรหัสผ่านได้อย่างง่ายดายในทุกเว็บไซต์ และในกรณีที่แฮ็กเกอร์ชั่วร้ายขโมย OpenID ของฉันฉันมีปัญหาเดียวในการขอรีเซ็ตรหัสผ่านหรืออย่างน้อยก็ปิดการใช้งานบัญชี

[*] - อ่าน: สคริปต์ kiddies

ยิ่งฉันเข้าชมเว็บไซต์ต่าง ๆ ยิ่งฉันต้องการคุณลักษณะการลงชื่อเข้าใช้ครั้งเดียวมากเท่านั้น

ทุกเว็บไซต์คิดว่าสำคัญที่สุด เว็บไซต์ทุกแห่งยืนยันว่าคุณสร้างบัญชีก่อนที่จะทำอะไรก็ได้ StackOverflow, Serverfault, Wikipedia, WowWiki, Wowhead, ฟอรัม MS, CodeProject, CodePlex, บนและบน, ...

พวกเขาทั้งหมดต้องการให้ฉันสร้างเลือกชื่อผู้ใช้ที่ไม่ซ้ำกันรหัสผ่านและทางที่อยู่อีเมลของฉัน จากนั้นพวกเขาก็ยืนยันว่าฉันไปตรวจสอบอีเมลของฉันก่อนที่พวกเขาจะให้ฉันโพสต์แก้ไขดาวน์โหลดคลิกแสดงความคิดเห็นให้คะแนน ฯลฯไม่มีเหตุผลอะไรที่จะไม่อนุญาตให้ฉันใช้เว็บไซต์ของคุณทันทีที่ฉันเข้าเยี่ยมชม

ฉันแค่อยากให้พวกเขาทั้งหมดปิดตัวลง ฉันต้องการเข้าสู่ระบบเดียวที่ฉันสามารถใช้ได้ทุกที่ด้วยที่อยู่อีเมลที่เป็นหลุมดำดังนั้นฉันจึงไม่ต้องอ่านขยะ

OpenIDน่าจะเป็นเช่นนั้น แต่เป็นไปได้ก็ต่อเมื่อ Google สนับสนุนแล้ว ก่อนหน้านั้นมันเป็นระบบเข้าสู่ระบบที่เป็น propritary ของ StackOverflow ซึ่งพวกเขาขี้เกียจเกินกว่าที่จะโฮสต์เอง ขณะนี้ Google สนับสนุน OpenID เป็นไปได้จริงที่ทุกคนจะมีอยู่แล้ว

วันนี้ฉันเกลียดการสร้างบัญชีบนเว็บไซต์และสาปแช่งผู้ประกอบการที่คิดว่าฉันควรจะสร้างบัญชีก่อน

อย่าทำให้ฉันเกลียดไซต์ของคุณด้วย

มีประโยชน์ของการใช้ openId ทั้งสองด้าน: 1. นักพัฒนาไม่จำเป็นต้องใช้ระบบเข้าสู่ระบบ (ฐานข้อมูลการประมวลผลไคลเอนต์ความปลอดภัยของแอพ ฯลฯ ) 2. ผู้ใช้ไม่จำเป็นต้องจำชุดของข้อมูลรับรองเพิ่มเติม

ในทางกลับกันคุณอาจทำให้ตกใจผู้ใช้บางคนที่ไม่ได้มีคอมพิวเตอร์ซุกซนจริง ๆ และจะลังเลที่จะบอกว่าข้อมูลประจำตัว google ของพวกเขาเพื่อเข้าสู่เว็บไซต์ของคุณ

ทางออกที่ดีที่สุดคือระบบ hibrid ที่ช่วยให้ทั้ง OpenID และการลงทะเบียนในสถานที่ แต่สิ่งนี้จะทำลายผลประโยชน์แรกที่ฉันพูดถึง

อีกสิ่งหนึ่งที่ OpenID ให้แก่ผู้ใช้ของคุณคือความสามารถในการใช้ข้อมูลรับรองที่แข็งแกร่งยิ่งขึ้น ฉันเห็นความกังวลเกี่ยวกับฟิชชิงในการตอบสนองที่นี่ แต่คุณสามารถเลือกผู้ให้บริการ OpenID ที่ไม่ได้ใช้ข้อมูลประจำตัวที่สามารถฟิชชิ่ง / เล่นซ้ำได้เลย ตัวอย่างเช่นใบรับรอง SSL หรือบัตรข้อมูลได้รับการสนับสนุนจากผู้ให้บริการบางราย myOpenID มีบางสิ่งที่จำเป็นต้องให้คุณรับสายก่อนที่คุณจะสามารถลงชื่อเข้าใช้ได้ฉันค่อนข้างแน่ใจว่ามีเว็บไซต์อื่น ๆ ที่ใช้โทเค็นฮาร์ดแวร์

ใช่ผู้ใช้ส่วนใหญ่ของคุณอาจจะแค่คลิกที่ปุ่ม Yahoo และไม่ได้ใช้มัน แต่มันให้ทางเลือกแก่พวกเขาและคุณไม่ต้องกังวลกับรายละเอียดการใช้งาน ฉันอ้างว่ามันง่ายกว่าที่จะเพิ่มการสนับสนุน OpenID ให้กับเว็บไซต์ของคุณมากกว่าที่จะรองรับ SSL certs ด้วยวิธีข้ามเบราว์เซอร์ และแน่นอนว่าง่ายกว่าการสนับสนุน SSL certs, Information Cards ทั้งหมด, การยืนยันทางโทรศัพท์, การตรวจสอบโทเค็น, DDRpass, dot stereogram แบบสุ่มจุดหรือสิ่งที่แปลกประหลาดที่พวกเขาคิดต่อไป

ฉันไม่ได้พยายามเปลี่ยนใจใคร โปรดพิจารณาข้อเท็จจริงเหล่านี้ OpenID มีสองสิ่งที่แตกต่างจากระบบการตรวจสอบผู้ใช้และรหัสผ่าน:

• สถานที่ที่การรับรองความถูกต้องเกิดขึ้น หากคุณเคยใช้ชื่อ + รหัสผ่านมาก่อน OpenID จะเปลี่ยนสถานที่ให้ตรวจสอบรหัสผ่าน หากคุณเคยใช้ใบรับรองมาก่อน OpenID จะเปลี่ยนตำแหน่งที่ตรวจสอบใบรับรอง
• URL ของ OpenID นั้นไม่เหมือนกันสำหรับทั้ง WWW (ไม่ได้พิจารณา DNS รากอื่น)

สิ่งที่ฉันพยายามจะชี้คือไม่มีอะไรเปลี่ยนแปลงอีกแล้ว:

• OpenID ไม่ใช่การแทนที่สำหรับขั้นตอนการลงทะเบียน (แต่อาจทำให้การลงทะเบียนง่ายขึ้นผ่านส่วนขยาย sREG)
• มันไม่ปลอดภัยน้อยกว่า หากมีใครเคยใช้รหัสผ่านสั้น ๆ มาก่อนเขาจะใช้อีกครั้ง
• ไม่ได้หมายความว่าคุณไม่สามารถมีรหัสที่แตกต่างกันหลายร้อยรหัสสำหรับทุกเว็บไซต์ที่อยู่ในกลุ่มคนหวาดระแวง
• มันไม่ได้หมายความว่า " OMG นั่นคือเทคโนโลยีที่เกินบรรยายวิ่งหนี !! " ไม่คุณสามารถสร้างปุ่มที่สวยงามเป็นประกายได้เช่นกลุ่ม StackOverflow ของเว็บไซต์ที่ทำเพื่อผู้ให้บริการ OpenID ทั่วไป เป็นมิตรกับผู้ใช้มากขึ้น
• มันไม่ได้บอกเป็นนัยถึงการเปลี่ยนเส้นทาง คุณสามารถทำการรับรองความถูกต้องใน iframe หรือแยกหน้าต่างเบราว์เซอร์

มันเหมือนกับเทคโนโลยีอื่น ๆ สิ่งที่คนส่วนใหญ่พูดถึงมันเป็นเรื่องเล่าเพราะพวกเขาไม่ได้ใช้เวลาศึกษาหรือเพราะพวกเขาใช้การดำเนินการที่ผิด

OpenID นั้นซับซ้อนกว่าและทำให้คุณต้องพึ่งพาผู้ให้บริการรายอื่นที่จะไม่ลง

หนึ่งในปัญหาที่ StackOverflow มีอยู่คือถ้าคุณลงชื่อเข้าใช้ด้วย OpenId ที่แตกต่างจากปกติที่คุณใช้คุณจะเสียอันดับและตราสัญลักษณ์ของคุณ มีครั้งเดียวที่ฉันลงชื่อเข้าใช้ไม่ได้หนึ่งชั่วโมงเพราะผู้ให้บริการของฉันหยุดทำงาน

ฉันเกลียด openID และเป็นเหตุผลหลักที่ไม่ต้องลงทะเบียนที่ serverfault / stackoverflow แล้วความเป็นส่วนตัวของผู้ใช้ล่ะ? ผู้ใช้บางคนเช่นฉันเป็นคนหวาดระแวงอย่างยิ่งและไม่ชอบที่จะผสมผสานข้อมูล facebook / yahoo / google ระหว่างเว็บไซต์ต่างๆ

OpenID ในขณะที่แนวความคิดที่ดีต้องเผชิญกับการต่อสู้ที่ดุเดือดของ IMO เพราะ a) ยากสำหรับผู้พัฒนาที่จะติดตั้งและ b) ยากสำหรับผู้ใช้ที่จะคุ้นเคยกับแนวคิดการใช้ url รูปแบบการใช้ชื่อผู้ใช้ / รหัสผ่านฝังแน่นในตอนนี้

ที่กล่าวมาให้ดูที่ Clickpass ( www.clickpass.com ) พวกเขาพยายามทำให้ OpenID ใช้งานง่ายขึ้น

โชคดี.

ยัง.

มันต้องการการสนับสนุนเบราว์เซอร์ เบราว์เซอร์จะเติมเต็มประสบการณ์ผู้ใช้ที่ยอดเยี่ยมด้วย OpenID เนื่องจากพวกเขาสามารถจัดการข้อมูลประจำตัวของคุณในแบบรวมศูนย์และทำสิ่งต่าง ๆ ได้ง่ายมาก (ดูเหมือนว่าเว็บไซต์ที่คุณกำลังเยี่ยมชมกำลังใช้ OpenID คุณต้องการใช้http://yahoo.com หรือไม่ / ผู้ใช้เข้าสู่ระบบ?) และปลอดภัย

แต่ตอนนี้คุณต้องใช้ความพยายามอย่างมากในการทำให้ OpenID ใช้งานได้ อย่างที่ฉันเห็นคุณจำเป็นต้องให้ OpenID เป็นตัวเลือกหรือให้ผู้ให้บริการ OpenID ของคุณแก่ผู้ใช้ของคุณ (ทำให้พวกเขามีอิสระที่จะใช้บริการของบุคคลที่สาม)

คิดว่าลูกค้า เป็นลูกค้าเป้าหมายของคุณเกินบรรยายหรือไม่? ถ้าใช่ OpenID จะสร้างความประทับใจให้ลูกค้าของคุณและช่วยเว็บไซต์ของคุณ ถ้าไม่งานพิเศษในการทำให้มันไม่เป็นมิตรเกินเหตุจะทำให้ทรัพยากรหมดไปจากการส่งเนื้อหาที่ลูกค้าของคุณใส่ใจ มุ่งเน้นการส่งมอบคุณค่าให้กับลูกค้าของคุณก่อน

ปัญหาของ OpenID นั้นยอดเยี่ยมสำหรับสิ่งต่าง ๆ เช่น ServerFault ซึ่งระดับความเชื่อมั่นในตัวตนของใครบางคนไม่ได้รับการพิจารณาอย่างแท้จริง - เมื่อคุณเริ่มใส่ใจนั่นคือชีวิตที่ซับซ้อน

มันมีความซับซ้อนเพราะเมื่อฉันควบคุมผู้ให้บริการการพิสูจน์ตัวตนของฉันฉันก็เชื่อใจผู้ให้บริการรายนั้นเพราะฉันเรียกใช้และเชื่อว่าจะใช้งานได้ตามมาตรฐานที่ฉันต้องการ เมื่อฉันย้ายการรับรองความถูกต้องนอกการควบคุมของฉันตอนนี้ฉันต้องกำหนดระดับความน่าเชื่อถือให้กับผู้ให้บริการการตรวจสอบความถูกต้องด้วย

ตามกฎหมายแล้วนายจ้างของฉันไม่สามารถไว้วางใจผู้ให้บริการ OpenID รายใหญ่ใด ๆ ได้เพราะ:

• พวกเขาไม่บังคับใช้การเปลี่ยนแปลงรหัสผ่านเป็นระยะ
• พวกเขาไม่บังคับใช้ความยาว / ความซับซ้อนของรหัสผ่าน
• ฉันไม่สามารถตรวจสอบแนวทางการจัดการระบบได้

นั่นไม่ใช่รายการที่ครอบคลุมโดยวิธีการใด ๆ

ในการทำให้ OpenID ทำงานได้กับแอปพลิเคชันที่ไม่สำคัญฉันต้องมีผู้ให้บริการที่เชื่อถือได้และต้อง จำกัด ผู้ใช้ของฉันไปยังผู้ให้บริการที่เชื่อถือได้นั้น (หรือผู้ให้บริการ) การเอาชนะความได้เปรียบแบบนั้นก็คือ "ชื่อผู้ใช้ / รหัสผ่านเดียว" ทั้งหมด ถึงตอนนั้นฉันอาจยังต้องทำการยืนยันตัวตนสำหรับผู้ใช้ในระดับความน่าเชื่อถือที่สูงขึ้น ดูเหมือนว่าจะทำงานให้ฉันโดยเฉพาะเมื่อจัดการผู้ให้บริการการตรวจสอบสิทธิ์ของคุณเองไม่ใช่วิทยาศาสตร์จรวด

IMO รัฐบาลมีศักยภาพที่จะทำให้เทคโนโลยีนี้ทำงาน หากรัฐ / จังหวัด DMV หรือที่ทำการไปรษณีย์เสนอบริการที่ประชาชนสร้างข้อมูลประจำตัวออนไลน์ที่สามารถเข้าถึงได้ผ่าน OpenID คุณจะสามารถเชื่อถือข้อมูลประจำตัวของที่ทำการไปรษณีย์ / DMV (เพราะรัฐบาลบอกว่า: 'เจ้าจะไว้ใจพวกเรา') ฉันเชื่อว่าประเทศอย่างนอร์เวย์และเดนมาร์กกำลังออกหนังสือรับรอง PKI ของแต่ละบุคคลแล้ว

สำหรับเว็บไซต์เครือข่ายสังคม OpenID จะช่วยดึงดูดความเชี่ยวชาญด้านเทคโนโลยี อย่างไรก็ตามหากเป็นตัวเลือกเดียวของคุณมันจะทำให้คนอื่นกลัว ผู้ใช้คุ้นเคยกับการลงชื่อเข้าใช้ด้วยการเข้าสู่ระบบและรหัสผ่านใหม่ในแต่ละเว็บไซต์ OpenID เป็นของใหม่และต่างประเทศและอาจทำให้ผู้ใช้สงสัยว่าทำไมพวกเขาถึงให้ข้อมูลรับรองแก่บุคคลที่สาม สำหรับผู้ใช้ทั่วไป OpenID อาจพูดว่า GiveMeYourInformationSoICanSpamYou เช่นกัน ... เป็นอีกเหตุผลหนึ่งที่พวกเขาจะสงสัยความสมบูรณ์ของเว็บไซต์ของคุณ

โดยสังเขป - กำหนดฐานผู้ใช้ของคุณและขีดข่วน OpenID หรือใช้ทั้ง OpenID และระบบเข้าสู่ระบบที่จัดการโดยแอปพลิเคชัน

ฉันสงสัยว่าทำไมผู้คนถึงคิดว่า openID ปลอดภัยกว่า สำหรับผู้ใช้ที่มีความชำนาญด้านเทคโนโลยีสิ่งนี้อาจนำไปใช้ แต่ผู้ใช้ทั่วไปจะไม่เห็นความแตกต่างระหว่างการเข้าสู่ระบบ openID จริงและการปลอมแปลงที่จะใช้รหัสผ่านซ้ำ
ยิ่งไปกว่านั้นพวกเขาก็จะรู้ว่าบัญชี openID ใดที่เชื่อมโยงกับรหัสผ่านนี้และอาจสร้างความเสียหายได้มากกว่าการใช้ชื่อผู้ใช้ / อีเมล / รหัสผ่านแบบง่าย

openID เป็นโซลูชันทางเทคนิคสำหรับผู้ใช้ด้านเทคนิคและไม่เป็นประโยชน์สำหรับผู้ใช้ทั่วไป ดังนั้นสำหรับเว็บไซต์ด้านเทคนิคมันอาจมีความเบาบาง แต่ฉันไม่เห็นว่าสำหรับเว็บไซต์ทั่วไปในเวลาไม่นาน

ฉันจะบอกว่าใช่ OpenID ดีกว่าโซลูชันการเข้าสู่ระบบปกติจากมุมมองของผู้ใช้ด้วยเหตุผลเหล่านี้:

• ฉันไม่ต้องจำชื่อผู้ใช้และรหัสผ่านอื่นสำหรับเว็บไซต์ของคุณ
• ฉันสามารถใช้ ID เข้าสู่ระบบเดียวสำหรับหลาย ๆ ไซต์ได้ถ้าต้องการ
• ฉันจะได้รับชื่อผู้ใช้เดิมเสมอ - ไม่มีการเพิ่มตัวเลขและสุ่มอึในตอนท้ายของรหัสการเข้าสู่ระบบจนกว่าฉันจะได้รับหนึ่งฟรี
• มันจะได้รับความนิยมและเป็นที่เข้าใจของผู้ใช้มากขึ้นเมื่อเวลาผ่านไป
• การอธิบายให้ผู้ใช้ทราบถึงวิธีการใช้งานและประโยชน์ที่ได้รับสำหรับผู้ใช้นั้นค่อนข้างตรงไปตรงมา
• ผู้ใช้ส่วนใหญ่จะมีบัญชีอีเมลฟรีจาก Yahoo หรือ Google ซึ่งพวกเขาสามารถใช้เป็นผู้ให้บริการ OpenID -> พวกเขาอาจไม่รู้ด้วยซ้ำว่าเป็นไปได้
• ผู้ใช้ยังคงสามารถให้ที่อยู่อีเมลอื่นแก่ผู้ให้บริการ OpenID หนึ่งราย (หากเป็นบัญชี yahoo / gmail / บัญชีใดก็ได้) ซึ่งคุณสามารถให้พวกเขาคลิกที่ลิงค์เพื่อยืนยันว่าเป็นข้อมูลสำรองสำหรับส่งอีเมล "ลืมรหัสผ่าน" หรือ การแจ้งเตือนอื่น ๆ หรือการตลาดเพื่อชัยชนะ

โปรดจำไว้ว่าเพียงเพราะคุณมีตัวเลือกของ OpenID ไม่ได้หมายความว่าคุณไม่สามารถให้ตัวเลือกการสำรองของผู้ใช้ที่มีชื่อผู้ใช้ + คำสั่งผสมรหัสผ่านแบบดั้งเดิมในกรณีที่พวกเขาไม่ต้องการใช้ OpenID หรือไม่มี ผู้ให้บริการ ไม่มีอะไรผิดปกติกับการให้ผู้ใช้เลือกสิ่งที่พวกเขาต้องการหากพวกเขารู้และมิฉะนั้นเป็นค่าเริ่มต้นเป็น OpenID , IMO :)

Open ID เป็นหนึ่งในสิ่งที่คุณรักหรือไม่ชอบความคิด - ฉันคิดว่าจริง ๆ แล้วมันจะทำให้คุณคิดว่าคุณจะรวมศูนย์ของ "ของแท้" อย่างกระตือรือร้นหรือสงสัย

กล่าวอีกนัยหนึ่งเมื่อคุณพบว่าบัญชีในเว็บไซต์ openid ถูกบุกรุกคุณคิดว่า "โอ้ sh! t ตอนนี้ฉันอาจถูกบุกรุกในทุก ๆ ไซต์ที่ฉันใช้ openid for" หรือ "โอ้ดีตอนนี้ฉัน ต้องเปลี่ยนรหัสผ่านของฉันสำหรับเว็บไซต์เหล่านั้นทั้งหมดในที่เดียว "

การทำงานในสาขานี้เราได้รับข้อมูลการเข้าสู่ระบบที่หลากหลาย OpenID อนุญาตให้ฉันใช้บัญชีที่มีการกำหนดไว้แล้วในการตรวจสอบตัวเองโดยไม่ต้องตั้งค่าบัญชีและรหัสผ่านอื่น ด้วยเว็บไซต์จำนวนมากที่เริ่มให้การสนับสนุน OpenID มีตัวเลือกมากมายในการรับรองความถูกต้องของ OpenID ที่คุณใช้ในการตรวจสอบข้อมูลประจำตัวของคุณ

คุณสามารถตั้งค่าตัวพิสูจน์ตัวตน OpenID ของคุณเองบนเว็บไซต์ของคุณเองหากคุณไม่ต้องการใช้หนึ่งในสิ่งที่มีอยู่แล้วในนั้น วิธีนี้คุณสามารถควบคุมได้อย่างแม่นยำมากขึ้นว่าข้อมูลใดที่มอบให้เมื่อคุณตรวจสอบความถูกต้อง

ฉันคิดว่าการมีตัวเลือกในการสร้างบัญชีหรือใช้ OpenID เพื่อรับรองความถูกต้องเป็นชุดค่าผสมที่ดีที่ครอบคลุมทั้งการรักษาความปลอดภัยหวาดระแวงและสิ่งที่ต้องการความสะดวกในการใช้งาน

ฉันคิดว่า OpenID นั้นยอดเยี่ยมและเรากำลังพิจารณาสำหรับเว็บไซต์ของเรา อย่างไรก็ตามเราต้องการ oAuth และเราต้องการอีเมลจากผู้ใช้เช่นกัน เราใช้สิ่งนี้อย่างกว้างขวางและสิ่งหนึ่งที่เราทำคือส่งจดหมายข่าวทางอีเมล เราอนุญาตให้ยกเลิกได้ แต่เพื่อให้ระบบของเราทำงานได้เราต้องการสิ่งนั้น

ดูเหมือนว่ามีกลุ่มแกนหลักของเทคโนโลยีที่เกลียดที่จะยอมแพ้ต่อผู้ใช้ / pwd และฉันเข้าใจได้ บางคนเป็นผู้สนับสนุนความเป็นส่วนตัวและฉันเข้าใจอย่างถ่องแท้ บางคนขี้เกียจไม่ต้องการตั้งค่าผู้ใช้ / รหัสผ่านบางคนเป็นเพียงผู้รับ พวกเขาต้องการรับข้อมูลจากอินเทอร์เน็ต แต่ไม่เคยจ่ายเงิน แต่อย่างใด (โฆษณาราคาและอื่น ๆ ) ฉันคิดว่านั่นเป็นชนกลุ่มน้อยของผู้คนเนื่องจากคนส่วนใหญ่เข้าใจว่าพวกเขาต้องการมีส่วนร่วมหรือจ่ายเงินไม่ทางใดทางหนึ่ง .

คุณต้องตรวจสอบเว็บไซต์ของคุณรายละเอียด / ข้อมูลที่คุณต้องการจากนั้นตัดสินใจว่าจะตรงกับความต้องการของคุณหรือไม่ หากเป็นเช่นนั้นคุณสามารถเพิ่มได้นอกเหนือจากวิธีการลงชื่อเข้าใช้ปัจจุบัน คุณต้องการติดต่อผู้คนแจ้งสิ่งต่างๆ ฯลฯ

การมีวิธีหลักในการรับรองความถูกต้องของตัวคุณเองนั้นยอดเยี่ยม แต่ก็มีปัญหาดังที่กล่าวมาโดยไม่มีการเปลี่ยนแปลงรหัสผ่าน / ความซับซ้อน อย่างไรก็ตามนั่นเป็นปัญหาของผู้ใช้มากกว่าปัญหาของเว็บไซต์ การประนีประนอมเกิดขึ้นในระดับผู้ใช้ซึ่งเราจะไม่แก้ไข แต่หมายความว่าคุณในฐานะเจ้าของไซต์จะไม่รับผิดชอบหากเกิดขึ้น

ปัญหาเดียวที่ฉันเห็นด้วย OpenID คือต่อไปนี้:

ลองนึกภาพสองเว็บไซต์ในเครือ ทั้งคู่อนุญาตการล็อกอิน OpenID แน่นอนว่าพวกเขาสามารถแบ่งปันสถิติกิจกรรมระหว่างกัน - พูดว่าฉันทำ X และ Action Y ในเว็บไซต์แรกแล้วเมื่อฉันเยี่ยมชมไซต์ที่สองฉันได้รับการโจมตีด้วยโฆษณาที่กำหนดเป้าหมายตามกิจกรรมของฉันในเว็บไซต์แรก ด้วยเหตุผลบางอย่างการขาดการแยกระหว่างการเข้าสู่ระบบ OpenID ดูเหมือนจะไม่น่าพอใจสำหรับฉัน

แต่สิ่งที่สำคัญที่สุดคือความสะดวกสบายสูงสุดของ OpenID (หนึ่งหวังว่าจะปลอดภัยชุดของข้อมูลประจำตัว) ไม่ได้ถูกบดบังด้วยข้อเสียดังกล่าว ฉันใช้ OpenID ทุกที่ที่ฉันสามารถและฉันได้พัฒนาเว็บเซอร์วิสสำหรับการใช้งานสาธารณะฉันจะทำให้ OpenID รองรับแน่นอน (อาจมีตัวเลือกการลงทะเบียนแบบธรรมดา)