Google использует адреса электронной почты как строки входа OpenID для своей службы поставщика.
Я читал о конференции, на которой они настаивали, чтобы включить ее в стандарт. Microsoft была против этого, "официальная" причина была уязвимостью в области безопасности, которую это предположительно представило бы. Это фиктивный? Если нет, почему это небезопасно?
Это противоречит минимальной концепции раскрытия. Прямо сейчас, если доверяющая сторона OpenID хочет, чтобы ваш адрес электронной почты просил об этом, и об этом предупреждал поставщик удостоверений, и попросил подтвердить его. Использование адреса электронной почты означает, что он подходит независимо от того, нравится вам это или нет, если вы не используете OpenID 2.0, который может генерировать уникальные значения на основе каждой опоры.
Это также будет большим изменением для всех библиотек OpenID - URL-адреса будут доступны для обнаружения, вы знаете, куда им идти, адреса электронной почты не являются, поэтому было вызвано возмущение в Google в одностороннем порядке, и это эффективно разблокировало стандарт OpenID чтобы удовлетворить себя.
Другая проблема заключается в фишинге. OpenID очень уязвим для этого, так как пользователи доверяют полагающейся стороне перенаправлять их своему провайдеру после обнаружения его через предоставленный OpenID - поэтому "озорная" полагающаяся сторона может перенаправить на фишинговый сайт, который сохраняет OpenID и пароль. С Google OpenID и пароль - ваша учетная запись и пароль Gmail, поэтому вы не только потеряли контроль над своим OpenID, но и своей учетной записью электронной почты. Конечно, это может быть обеспечено провайдером - у вас могут быть отдельные пароли электронной почты и пароли OpenID, у вас может быть секретное сообщение для каждого пользователя, которое вы показываете на странице входа OpenID, но поскольку мы хорошо знаем, что пользователи глупы. Они не проверяют URL-адреса в браузере, они слепо нажимают ОК в диалоговых окнах, они просто не думают, что веб-страница может быть фальшивой. Используя адрес электронной почты и тот же пароль, Google подвергает большинство своих пользователей неприемлемому риску.
Одна из опасностей использования адреса электронной почты заключается в том, что это допустимо. Или, скорее, кто-то, кто хочет разорвать ваш аккаунт, вероятно, это узнает.
Сравните это с текущей ситуацией, когда ваше имя пользователя и ваш поставщик OpenID могут быть чем угодно. Возможно, это возможно, возможно, это не так. Если это не так, вам будет намного сложнее скомпрометировать вашу учетную запись.
У некоторых людей есть проблема с этим. Посмотрите это довольно просто. Я не сказал, что неочевидное имя пользователя само по себе является достаточной защитой. Отнюдь не. Безопасность через безвестность не является безопасностью.
Однако, это чистое здравое рассуждение, что из:
что (1) в худшем случае одинаково безопасен для (2), и в лучшем случае он более безопасен.
Что еще, если ваш адрес электронной почты является вашим паролем, тогда, если вы нарушите компромисс с каким-либо адресом электронной почты, который потенциально может скомпрометировать каждую систему, которая использует это как имя пользователя, легче скомпрометировать как в силу "Забыть пароль"? ссылки и тот факт, что пароль, используемый в одном месте, с большей вероятностью будет использоваться в другом.
Извините, но это просто здравый смысл.