OpenID - Polski Serwis Naukowy

OpenID - architektura rozproszonego uwierzytelnienia i dystrybucji tożsamości użytkowników w usługach webowych.

OpenID rozwiązuje problem dystrybucji składników tożsamości użytkownika (imię, nazwisko, email, adres itd) pomiędzy wieloma serwisami webowymi (sklepy internetowe, grupy dyskusyjne itd - w specyfikacji OpenID nazywanymi Consumer). Zamiast zakładać niezależne konta w każdym z serwisów, użytkownik zakłada jedno konto na serwerze OpenID, zapisując tam swoje dane osobowe i uzyskując identyfikator OpenID.

Uwierzytelnianie (ang. authentication, niepoprawnie autentykacja) – proces polegający na zweryfikowaniu zadeklarowanej tożsamości osoby, urządzenia lub usługi biorącej udział w wymianie danych.

System zarządzania treścią (ang. Content Management System, CMS) jest to aplikacja internetowa lub ich zestaw, pozwalająca na łatwe utworzenie serwisu WWW oraz jego późniejszą aktualizację i rozbudowę przez redakcyjny personel nietechniczny. Kształtowanie treści i sposobu ich prezentacji w serwisie zarządzanym przez CMS odbywa się za pomocą prostych w obsłudze interfejsów użytkownika, zazwyczaj w postaci stron WWW zawierających rozbudowane formularze i moduły.

Procedura logowania w OpenID

W momencie logowania do pożądanego serwisu użytkownik podaje identyfikator OpenID, który ma postać adresu URL będącego równocześnie adresem serwera OpenID i wskazaniem konkretnego użytkownika (np. user.openid.pl albo http://openid.pl/user/).

Serwis przekierowuje użytkownika na stronę serwera OpenID z żądaniem określonych danych użytkownika. Serwer OpenID udostępnia je przez przekierowanie z powrotem do serwisu, który ich zażądał. Udostępnienie danych wymaga zwykle interakcji użytkownika, by udostępnić tylko te dane, na których udostępnienie godzi się użytkownik i tylko temu serwisowi, który użytkownik akceptuje. Użytkownik dokonuje więc logowania i wyboru zakresu danych. Możliwe jest też ustalenie, że pewne dane będą udostępniane serwisowi bez konieczności każdorazowego logowania np. przez pewien czas. Udostępniane dane mogą być użyte np. do podpisywania komentarzy użytkownika na forach dyskusyjnych czy w blogach.

World Wide Web (ang. ogólnoświatowa sieć) (w skrócie określany jako WWW lub Web) – hipertekstowy, multimedialny, sieciowy (TCP/IP) system informacyjny oparty na publicznie dostępnych, otwartych standardach IETF i W3C. Pierwotnym i w chwili obecnej nadal podstawowym zadaniem WWW jest publikowanie informacji. WWW jest często błędnie utożsamiane z całym Internetem, w rzeczywistości stanowi tylko jedną z jego najpopularniejszych usług.

Sklep internetowy – serwis internetowy dający możliwość zamawiania produktów przez Internet. Forma ta staje się obecnie coraz popularniejsza z uwagi na wygodę i obniżenie kosztów sprzedaży (i często wynikające z tego niższe ceny towarów), a ponadto daje to możliwość szybkiego porównania cen u wielu dostawców.

W wersji 2.0 protokołu OpenID identyfikatorem użytkownika może być także XRI.

Zalety OpenID

łatwość korzystania -- bo użytkownik w każdym serwisie posługuje się jednym identyfikatorem, zamiast w każdym z nich zakładać oddzielne konto, wypełniać dane i ustawiać hasło

decentralizacja -- możliwa dlatego że identyfikator jest równocześnie adresem serwera; architektura nie wymusza korzystania z jednej, centralnej bazy haseł bo każdy może postawić swój serwer i używać jego adresu jako identyfikatora

kontrola prywatności -- to użytkownik wskazuje, jakie informacje może pobrać serwis (np. email - tak, telefon - nie) i ma później wgląd w historię pobieranych informacji

łatwość aktualizacji -- ponieważ dane są przechowywane w jednej lokalizacji, a w razie zmian wszystkie serwisy zaktualizują je sobie automatycznie

Zagrożenia OpenID

kradzież tożsamości - kradzież danych dostępowych do serwera OpenID (najczęściej login i hasło) umożliwia włamywaczowi posługiwanie się tożsamością ofiary bez ograniczeń we wszystkich serwisach z których ona korzystała - a także w nowych. Ze względu na to, że logowanie odbywa się na stronie innej, niż docelowa, phishing jest znacznie ułatwiony.

koncentracja danych - gromadzenie wszystkich danych o użytkowniku na jednym serwerze naraża w przypadku włamania na serwer OpenID, na kradzież ważnych danych takich jak numery kart kredytowych.

Oprogramowanie

Oprogramowanie serwisów webowych musi być wyposażone w moduł rozpoznający identyfikator OpenID. Są dostępne biblioteki do uwierzytelnienia OpenID w serwerowych rozwiązaniach skryptowych takich jak ASP+, PHP, oraz moduły dla popularnych serwisów CMS (Joomla!, Drupal, WordPress i inne).

Phishing (spoofing) – w branży komputerowej, wyłudzanie poufnych informacji osobistych (np. haseł lub szczegółów karty kredytowej) przez podszywanie się pod godną zaufania osobę lub instytucję, której te informacje są pilnie potrzebne. Jest to rodzaj ataku opartego na inżynierii społecznej.

Drupal – system zarządzania treścią (ang. CMS), umożliwiający użytkownikowi łatwe publikowanie, zarządzanie i organizowanie zawartości strony. Wyposażony jest w funkcje, które oferują między innymi system blogów, środowiska przeznaczone do wspólnej pracy nad projektem, fora, biuletyny, galerie grafik/zdjęć, możliwość wysyłania i pobierania plików.

Zobacz też

Windows Live ID (dawniej Passport) - podobna technologia Microsoftu

Linki zewnętrzne

OpenID.net - opis i specyfikacja usługi

OpenID.wp.pl - polski serwer OpenID użytkowników Wirtualnej Polski