Einige Fragen zu OpenId

Question

Ich recherchiere über OpenId und sehe, ob es eine gute Lösung für meine Website ist und einige Dinge verwirrten mich. Korrigiere mich, wenn ich falsch liege.

"Ich verstehe, dass OpenID auf eine Weise funktioniert, dass der Benutzer die Anmeldeinformationen an den Autorisierungsserver sendet und dieser TRUSTED-Server sagt, ob dieser Benutzer legitim ist oder nicht."

Nun nehmen wir ein Beispiel für Stackoverflow. Ich sehe alle diese Symbole für Yahoo und Google und alles und ich denke, Stackoverflow sagt, das sind meine vertrauenswürdigen Anbieter und wenn Sie Ihnen vertrauen, vertraue ich Ihnen.

Jetzt gibt es auch eine Schaltfläche, die OpenID sagt und ich kann mich auch dort anmelden. Ist das nun ein unabhängiger Authorization Server? Wer ist der Anbieter dafür?

Wenn ich OpenID zu meinem Webprojekt einbetten möchte. Welchen Autorisierungsserver sollte ich verwenden? Ich sehe dieses OAuth als eine Option, wenn ich über OpenId suche; Ist es ein Autorisierungsserver?

Answer 1

OpenID ist ein Standard, kein Auth-Provider.

• Ein OpenID-URI liefert genügend Informationen, um zur Authentifizierung zum Authentifizierungsanbieter zu gelangen.
• Der Benutzer gibt seine Anmeldedaten auf der Website des Anbieters ein. Bei diesem Schritt muss der Benutzer wissen, wie die Autorisierungsseite des Anbieters aussieht.
• Die Antwort, gekoppelt mit dem Referrer-Header, soll genug Informationen sein, um einen Benutzer sicher zu authentifizieren.

OAuth ergänzt OpenID.

[Google hat eine einigermaßen gute Fließ Erklärung: https://developers.google.com/accounts/docs/OpenID]

Viele Websites bieten Optionen für bestimmte Auth-Provider nur den Prozess zu vereinfachen. OpenID-URIs sind nicht einheitlich, sodass Sie beispielsweise nicht wissen können, wie der URI von einer E-Mail-Adresse sein würde.

Einige Auth-Provider (wie Google) machen es etwas schwierig, herauszufinden, was Ihre OpenID tatsächlich ist, vermutlich in dem Bemühen, die Anmeldung für die Benutzer transparenter zu machen (und Branding den Webseiten der vertrauenden Parteien hinzuzufügen).

Wenn Sie wissen, was Ihr OpenID URI ist, sollten Sie in der Lage sein, das auf jeder kompatiblen Site einzugeben, ohne den Schritt "Wählen Sie einen bekannten Provider" auszuführen. Ob diese Option verfügbar ist, liegt jedoch im Ermessen des Autors.

[Wie für die "trustedness" von Auth-Anbieter, gibt es einige mögliche Probleme: http://en.wikipedia.org/wiki/OpenID#Security]

[Die OpenID Foundation die offiziellen Antworten hat: http://openid.net/get-an-openid/]