Чи безпечний відкритий ідентифікатор?

9

Чи безпечно відкритий ідентифікатор, наприклад, ви можете використовувати його для входу в банківські рахунки?

security openid

1

Так, 2.0 є дуже безпечним. Перейти прочитати en.wikipedia.org/wiki/OpenID «OpenID не надає свою власну форму аутентифікації, але якщо провайдер ідентифікації використовує суворої аутентифікації, OpenID може використовуватися для захищених транзакцій , таких як банківська справа та електронної комерції.»

— Еван Керролл

1

Так, я думаю, що справжнє питання ... Чи безпечний ваш постачальник OpenID?

— Андор

8

OpenID настільки ж безпечний, як і постачальник OpenID (тобто "Якщо хтось проник у ваш обліковий запис Myspace, він отримає доступ до вашого OpenID та всього, що ним використовується").

Особисто я б не довірив їй нічого цінного. Більшість постачальників OpenID мають досить вразливий досвід безпеки.

— voretaq7
джерело

1

Я думаю, що ви не помічаєте переваги OpenID і списуєте їх як просту зручність.

— Еван Керролл

3

@Evan: OpenID має багато переваг - адже я використовую OpenID для сайтів трилогії SO. Проте жодна з переваг не заперечує моїх проблем щодо безпеки, і я, безумовно, не довіряю безпеці свого провайдера OpenID інформацію про мій банківський рахунок :-)

— voretaq7

2

Впевнені, що вони роблять, як щодо зменшення вашої заяви OpenID is as secure as the OpenID providerдо X is as secure as the X provider: у такому випадку ви взагалі нічого не заявляєте. Незважаючи на те, що ваше твердження відповідає дійсності, воно є дурним: я вважаю, що той, хто має достатньо знань, щоб створити та підтримувати OpenID, мабуть, принаймні такий же кваліфікований, як і банк, зважаючи на те, що один продає технічне рішення, а інший продає фінансове . Так, я довіряю Google / Yahoo / Verisign набагато більше, ніж я довіряю Washington Mutual

— Еван Керролл

3

@Evan - будь-яка послуга за визначенням є настільки ж безпечною, як і постачальник. На мою думку, OpenID, хоча і є цінним протоколом, не дає достатньо структурних гарантій щодо безпеки його провайдерів, щоб я довіряв йому критичну автентифікацію. Ви вільні не погоджуватися з моєю оцінкою, але я стою за тим, що я сказав.

— voretaq7

3

@Evan, ти, здається, досить пристрасно ставився до цієї тематики, навіть до одержимості. Можливо, вам потрібно зробити крок назад і мати інший погляд. Той факт, що ВАМ довіряєте OpenID, не робить його безпечним. Ми не перші, хто довіряє цьому, і, звичайно, не буде останнім. Що стосується коефіцієнта зручності, то це не тема питання.

— Джон Гарденєр

5

Хоча я погоджуюся з voretaq7 про те, що OpenID є настільки ж безпечним, як і постачальник OpenID, я повинен сказати, що, вибираючи постачальника OpenID для використання, слід бути обережним, щоб ти користувався авторитетним постачальником. Ця ж ідея стосується всього, що стосується безпеки. Google, AOL, і я думаю, навіть зараз Verisign пропонують OpenID, і ці компанії / провайдери мають хороший досвід.

Однією з найважливіших переваг OpenID перед домашнім захистом або іншим стороннім пакетом є те, що він передає аспект автентифікації безпеки в руки компаній, які мають більше досвіду та більше ресурсів для управління, ніж більшість менших організацій. Вони, як правило, мають кращу здатність захищати свої сервери та дані. Як працівник невеликого магазину, я, безумовно, довіряю Google більше, ніж собі, щоб правильно налаштувати сервери, брандмауери тощо, необхідні для захисту цих даних.

Однак OpenID так само вразливий до найнебезпечнішого аспекту з усіх - користувачів, які вибирають слабкі дані.

— DCNYAM
джерело

1

Google, Verisign тощо надають "достатньо безпечну" OpenID, але кожен може бути постачальником OpenID, і вся концепція OpenID (наскільки я це розумію) полягає в тому, щоб прийняти дійсний OpenID від будь-якого постачальника, щоб люди не мали налаштувати купу різних облікових записів. Хто - то вибравши небезпечну постачальнику OpenID (або один з незахищеним відновленням пароля) може бути майже так небезпечно , як користувачі , які використовують в abc123якості своїх паролів ...

— voretaq7

2

Здавалося б, єдиною небезпечною людиною навколо є користувач. Саме вони вибирають, що таке пароль, якщо вони використовують OpenID і ким він повинен бути. Чи повинно бути наша відповідальність захищати їх від себе?

— Кріс

2

Якщо ви працюєте з сервісом, який приймає OpenID для автентифікації, ви можете легко отримати чорний список недостовірних постачальників або відомий хороший провайдер білого списку. Таким чином ви можете уникнути провайдерів, які дозволяють користувачеві встановити незахищений пароль.

— GAThrawn

1

@Chris: Поки нам доводиться стояти перед грозою вини, коли рахунок порушено, так - принаймні частково. (Тому деякі сайти мають політику щодо паролів, таких як "> = 8 символів, буквено-цифрові + принаймні 1 спеціальний символ").

— voretaq7

@ voretaq7: Банк може бути також і будь-хто.

— Еван Керролл

5

OpenID - це спосіб делегувати автентифікацію третій стороні. Для додатків з високою довірою, таких як банківська діяльність, якому ви делегуєте автентифікацію, є важливим, важливим рішенням безпеки. Протокол openID, який він є, є достатнім для будь-якого стандарту, який дозволяє або однофакторну аутентифікацію (відкритий аутентифікатор openID), або делеговану автентифікацію системі, яка має достатню гарантію автентифікації.

Наступне запитання: чи достатньо надійні будь-які поточні провайдери openID для інтернет-банкінгу?

Це вже інше питання, і це, мабуть, негативно зараз. Однак, скажімо, немає нічого (технічного) припинення, скажімо, консорціуму американських банків, що об'єднує ресурси для створення єдиного банківського постачальника openID, який відповідає заявленому стандарту та підлягає аудиту. Цей постачальник openID може використовувати будь-які необхідні способи аутентифікації, будь то SiteKey, SecureID, проведіть смарт-карту чи будь-що інше. Я вважаю цю можливість малоймовірною для великих комерційних банків, але спільнота Credit Union може просто спробувати.

— sysadmin1138
джерело

1

Я вважаю, що VeriSign PIP і, можливо, MyOpenID є досить безпечним для банківських операцій.

— користувач1686

2

OpenID настільки ж безпечний, як і найслабший (1) сайт, на який ви намагаєтесь увійти; (2) ваш постачальник OpenID; або (3) система DNS.

Рекомендація:

Скористайтеся рекомендованою системою безпеки / входу в банк і зрозумійте умови надання послуг, щоб ви знали свої права, якщо ваш рахунок порушений.
Не закликайте ваш банк приймати OpenID, оскільки це знизить безпеку їх обслуговування.

Слабкі сторони:

Безпосереднім наслідком цього факту є те, що OpenID в кращому випадку може бути настільки ж безпечним, як і сайт, на який ви намагаєтесь увійти; він ніколи не може бути більш безпечним.

У протоколі OpenID перенаправлення на ваш провайдер знаходиться під контролем сайту, на якому ви входите в систему, що призводить до тривіального фішингу та атаки з боку людини. Такі атаки дозволять ворожим сайтам викрасти ваші облікові дані OpenID, не знаючи , які вони згодом можуть використовувати для входу на будь-який інший веб-сайт із підтримкою OpenID.

DNS-атаки є складнішими, але дозволять зловмисникові переконати ваш банк, що він є вашим постачальником OpenID. Зловмисник входить в систему, використовуючи ваш OpenID, і його фальшивий постачальник надає дозвіл банку. У цьому випадку зловмиснику не потрібно підробляти вас, не дізнаватися свій пароль або встановлювати що-небудь на комп'ютер - все, що йому потрібно, це ваш OpenID.

Аналогічно, атака на вашого постачальника OpenID дозволить зловмиснику увійти, як ви, на будь-якому сайті з підтримкою OpenID, не знаючи вашого пароля.

Більше інформації про слабкі та атаки OpenID можна знайти на веб- сайті http://www.untrusted.ca/cache/openid.html .

— Твіліт
джерело

1

OpenID - протокол. Протокол дуже безпечний, проте методом бекенда-аутентифікації не повинно бути. Ви можете запустити портал OpenId, який перевірить користувача з вікна Dos над telnet в Бангладеш.

Це достатньо безпечно для банківської діяльності? Так. Насправді, я б хотів, щоб усі банківські провайдери це дозволили. Крім того, якщо ви хочете довіряти банківським провайдерам більше, ніж іншим постачальникам технологій - чи не було б непогано, якби вони це надали ?

— Еван Керролл
джерело

1

Тільки тому, що банку довіряють ваші гроші, чи це робить їх кваліфікованими для обробки цифрових ідентифікацій?

— Кріс

1

@chris: Ні, це не так. але це, здається, є тенденцією для цієї нитки. Я вважаю за краще банки дотримуватися обробку грошей і використовувати Google для обробки моєї аутентифікації. Суть у тому, що не має значення кому ви довіряєте, комусь, крім банку чи банку: якщо кожен банк був відкритим постачальником та споживачем, ви можете використовувати їх аутентифікацію в google або google's в банку - OpenID просто протокол, що дозволяє їм спілкуватися.

— Еван Керролл