0 Gedanken zu „Stell Dir vor es gibt OpenID und keiner nutzt es!“

  1. … und da Microsoft gestern OpenID als „De facto Login Standard“ bezeichnet hat und das Thema nun auch unterstützt (auch aber nicht nur als Provider), wird das sicherlich noch spannend.

  2. Gut geschriebener Artikel. Vielen Dank dafür. Kennt der Autor, oder einer der hier Lesenden evtl. eine Software mit der man selbst Openid Provider werden kann? Alle Programme, die ich bis jetzt gefunden habe, können nur die eigene Openid erstellen, aber nicht Openid’s für „dritte“. Verständlich, was ich meine?

  3. @jc es gibt schon diverse Software, mit der man einen eigenen OpenID-Server betreiben kann. Eine Liste gibts hier. Ich hab bei mir z.B. phpMyID laufen (nur eine Identität), mit anderen kann man aber mehrere OpenIDs gleichzeitig versorgen.

  4. Ich versteh das jetzt nicht so ganz… ich bekomme also von der zentralen Stelle bei der ich mich registriere eine URL, die mich identifiziert.

    Und diese URL gebe ich bei entsprechenden OpenID-Seiten statt des Logins ein ?

    Wenn nun jemand kenntnis über die URL bekäme, könnte dieser aber doch mehr „Unsinn“ anstellen als das zuvor möglich war (da man dann idealerweise bei jedem Dienst ein eigenes Passwort nutze.

    SingleSignOn ist nicht immer ein Segen…

  5. Das mit der offenheit und „jeder kann sein eigener OpenID-Provider sein“ ist dann aber auch schon wieder die Stelle, an der das mit dem SPAM-Schutz schon wieder den Bach runter geht… Wenn sich jeder einfach selbst autentifizieren kann – wem soll man dann vertrauen?

    @Dürrbi: Du brauchst nicht nur die URL zum Einloggen. Nachdem man die URL als Userkennung eingegeben hat wird man zu seinem „OpenID Provider“ weitergeleitet und muss sich dort mit einem Passwort einloggen.

  6. @BlaM
    Danke für die Antwort. Egal welcher Dienst OpenID nutzt, authentifizieren tut man sich immer gegen den zentralen Provider, OK das habe ich verstanden.

    Sollte aber trotzdem das Kennwort „bekannt“ werden, wären hierdurch weitaus mehr Dienste betroffen, als wenn ich bei jedem Anbieter mein „eigenes“ habe.

    Gut es gibt auch Leute, die der Bequemlichkeit halber immer und überall das gleiche nutzen. Ich finde es in manchen Fällen schon doof, dass man für alle Google-Dienste ein- und dasselbe Kennwort – weil SingleSignOn – verwende bzw. verwenden muss.

  7. @Dürrbi: Ich sehe das eher als Vorteil: *sollte* mein Passwort irgendwie bekanntgeworden sein (Natriumpentothal oder so), dann brauche ich es nur an einer zentralen Stelle zu ändern.

    Für die ganz paranoiden: man könnte sich ja einen OpenID-Provider suchen (oder selber basteln), dessen Authentifizierung nicht auf einem Passwort sondern auf z.B. einem SSL-Clientzertifikat basiert. Wenn man das unterwegs nutzen wollte, dann bräuchte man allerdings einen Mobilbrowser auf USB-Stick oder ähnliches.

  8. Eine Frage: wie behandelt OpenID mehrere Accounts auf einem der Dienste, die hier so genannt werden? Ich bin grundsätzlich mit 2 Identitäten unterwegs – privat und geschäftlich. Heisst zwar alles doppelt merken, ist es mir aber wert. Müsste ich da auch 2 OpenID-Accounts betreiben – oder kann OpenID mehrere Accounts pro URL managen?

  9. Ich bin mir jetzt nicht ganz sicher, was Du genau meinst. Wenn Du bei einer Relying Party – die Seiten, die ein Login mit OpenID akzeptieren – zwei Accounts hast, kannst Du die nicht mit einer einzigen OpenID verwalten.

    Anders herum funktioniert es aber mit einigen Providern wie MyOpenID.com, VeriSign PIP, XLogon,… Bei diesen kannst Du mehrere Identitäten, sogenannte Personas, verwalten. Du könntest also eine Identität für eher private Relying Parties anlegen, die einen bestimmten Nickname und/oder zugeordnete E-Mail Adresse enthält, und gleichzeitig eine Identität für geschäftliche Seiten, die eben einen anderen Nickname und E-Mail Adresse enthält. Dahinter steht aber immer die gleiche OpenID, also z.B. username.openidprovider.com.

    Manche Relying Parties erlauben es, einem Account mehrere OpenIDs zuzuordnen. Man kann sich also z.B. mit einer OpenID von VeriSign PIP einloggen oder mit einer von Yahoo!. Grundsätzlich sollten das alle Relying Parties machen, weil man so einen Fallback hat, falls ein Provider mal nicht zu erreichen ist.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *