Czy otwarty identyfikator jest bezpieczny?

Czy otwarty identyfikator jest bezpieczny, na przykład czy możesz go użyć do zalogowania się na konta bankowe?

OpenID jest tak samo bezpieczny, jak dostawca OpenID (tzn. „Jeśli ktoś włamie się na twoje konto Myspace, ma dostęp do Twojego OpenID i wszystkiego, co z niego korzysta”).

Osobiście nie ufałbym temu w niczym wartościowym. Większość dostawców OpenID ma dość kiepską historię bezpieczeństwa.

Chociaż zgadzam się z voretaq7, że OpenID jest tak bezpieczny, jak dostawca OpenID, muszę powiedzieć, że wybierając dostawcę OpenID do użycia, należy zachować ostrożność, aby upewnić się, że używasz renomowanego dostawcy. Ten sam pomysł dotyczy wszystkiego, co dotyczy bezpieczeństwa. Google, AOL i myślę, że nawet Verisign oferuje teraz OpenID, a te firmy / dostawcy mają dobre osiągnięcia.

Jedną z głównych zalet OpenID w porównaniu z rodzimymi zabezpieczeniami lub innymi pakietami stron trzecich jest to, że oddaje aspekt uwierzytelniania bezpieczeństwa w ręce firm z większym doświadczeniem i większą ilością zasobów do obsługi tego niż większość mniejszych podmiotów. Zwykle mają lepszą zdolność ochrony swoich serwerów i danych. Jako pracownik małego sklepu z pewnością zaufałbym Google bardziej niż mnie, jeśli chodzi o prawidłowe skonfigurowanie serwerów, zapór sieciowych itp. Niezbędnych do ochrony tych danych.

Jednak OpenID jest równie podatny na najbardziej niebezpieczny aspekt ze wszystkich - użytkowników, którzy wybierają słabe dane uwierzytelniające.

OpenID to sposób na przekazanie uwierzytelnienia stronie trzeciej. W przypadku aplikacji o wysokim zaufaniu, takich jak bankowość, której przekazujesz uwierzytelnianie, to ważna, ważna decyzja dotycząca bezpieczeństwa. Obecny protokół openID jest wystarczający dla każdego standardu, który umożliwia uwierzytelnianie jednoskładnikowe (token uwierzytelniający openID) lub uwierzytelnianie delegowane do systemu, który ma wystarczające zabezpieczenia uwierzytelniania.

Następne pytanie: czy którykolwiek z obecnych dostawców openID jest wystarczająco bezpieczny dla bankowości internetowej?

To inne pytanie i prawdopodobnie jest teraz negatywne. Jednak nic (technicznego) nie powstrzyma, powiedzmy, konsorcjum amerykańskich banków łączących zasoby w celu stworzenia jednego bankowego dostawcy openID, który będzie zgodny z ustalonym standardem i będzie kontrolowany. Ten dostawca openID może używać dowolnych potrzebnych metod uwierzytelniania, czy to SiteKey, SecureID, machnięcia kartą inteligentną, czy cokolwiek innego. Uważam tę możliwość za mało prawdopodobną dla głównych banków komercyjnych, ale społeczność Credit Union może po prostu spróbować.

OpenID jest tak bezpieczny, jak najsłabsza z (1) witryny, do której próbujesz się zalogować; (2) twój dostawca OpenID; lub (3) system DNS.

Rekomendacje:

• Skorzystaj z zalecanego przez bank systemu bezpieczeństwa / logowania i zrozum warunki świadczenia usług, aby poznać swoje prawa w przypadku naruszenia bezpieczeństwa konta.
• Nie zachęcaj swojego banku do przyjęcia OpenID, ponieważ zmniejszy to bezpieczeństwo ich usług.

Słabości:

Bezpośrednią konsekwencją tego faktu jest to, że OpenID może co najwyżej być tak bezpieczne, jak witryny, którą próbujesz zalogować się do; nigdy nie może być bardziej bezpieczne.

W protokole OpenID przekierowanie do twojego dostawcy jest kontrolowane przez stronę, na którą się logujesz, co prowadzi do trywialnych ataków typu phishing i man-in-the-middle. Takie ataki pozwolą wrogiej witrynie na kradzież danych uwierzytelniających OpenID bez Twojej wiedzy , których mogą później użyć do zalogowania się na dowolnej innej stronie obsługującej OpenID.

Ataki DNS są bardziej skomplikowane, ale pozwolą atakującemu przekonać bank, że jest on dostawcą OpenID. Atakujący loguje się przy użyciu Twojego identyfikatora OpenID i zleca jego fałszywemu dostawcy autoryzację banku. W takim przypadku osoba atakująca nie musi cię wyłudzać, uczyć się hasła ani instalować czegokolwiek na twoim komputerze - wszystko czego potrzebuje to Twój OpenID.

Podobnie atak na twojego dostawcę OpenID pozwoli atakującemu zalogować się jak ty na dowolnej stronie obsługującej OpenID, bez znajomości twojego hasła.

Więcej informacji na temat słabych stron i ataków OpenID można znaleźć na stronie http://www.untrusted.ca/cache/openid.html .

OpenID to protokół. Protokół jest bardzo bezpieczny, jednak nie musi to być metoda backend-auth. Możesz uruchomić portal OpenId, który zweryfikuje użytkownika z poziomu dos box przez telnet w Bangladeszu.

Czy jest wystarczająco bezpieczny dla bankowości? Tak. W rzeczywistości chciałbym, aby wszyscy dostawcy usług bankowych na to zezwalali. Ponadto, jeśli chcesz ufać dostawcom usług bankowych bardziej niż innym dostawcom technologii - czy nie byłoby miło, gdyby ci to zapewniali ?