Авторизация в веб: какой она может быть?

[@ckald]

6 пункт — не метод авторизации вовсе.

На данный момент самым перспективным остается OpenID и со временем множество сайтов подтянутся за тем же ЖЖ и внедрят к себе эту технологию. Хорошо бы ввести ее у нас на том же Яндексе.

А самым оптимальным сейчас остается простая регистрация. Самая простая, какая может быть. Мы не имеем права требовать от пользователя никаких данных кроме логина и пароля. Добавлять о себе остальную информацию — его дело. Естественно, бывают исключения.

Но лучшая форма регистрации — два input'а для логина и пароля и еще один для ввода captcha.

[@ruskar]

Не знаю, для меня было бы идеалом что-нибудь из OpenID или Windows Card. Потому что зарегистрирован на многих ресурсах, да и не только ресурсах (мыло, пароли к панелям управления), везде пароли и логины у меня разные, так что иногда приходится мучительно вспоминать - какой именно пароль я использовал на данном ресурсе.

[@Angerslave]

Юзайте Password Commander или аналоги и будет вам счастье:)

[@korynd]

Лучше KeePass.

[@zencd]

распишите тогда уж чем «6 пункт — не метод авторизации»

[@iSlayter]

Кстати, в пример шестого пунтка можно привести Мой.Круг.

[@ckald]

6 пункт — по сути любой из других видов авторизации. просто необходимые данные уже отформатированы в виде строки. как постоянный метод авторизации пользовать нельзя — небезопасно.

[@roTuKa]

Может быть, я вас неправильно понял, но на яндексе уже давно есть OpenID сервер.

[@romx]

"Сервер", то есть провайдер OpenID. Но он не принимает авторизацию по OpenID. Собственно ради чего все и.

[@MikeOzornin]

Проблема OpenID — не в малом числе провайдеров, а в малом числе сайтов, которые его принимают. Если б я мог комментировать Я.ру войдя по OpeID (поправьте, если уже есть такое), то было б круто (:

[@markshevchenko]

> Мы не имеем права требовать от пользователя никаких данных кроме логина и пароля.

А забытый пароль как восстанавливать, если нет подтверждённого адреса электронной почты?

[@ckald]

а это уже право пользователя, если он не хочет потерять свой аккаунт, оставить информацию для восстановления пароля.

[@shestera]

Как пример чистой авторизации по ключам, является webmoney

[@voicer]

Я как-то не понял принципиальной разницы между пунктами 2 и 4.
OpenID сервером может стать любой сервер. К примеру, мой блог. Соответственно, все пользователи, зарегистрированные на этом ресурсе, автоматически имеют OpenID аккаунт, и могут пользоваться им везде, где поддерживается OpenID.

[@voicer]

*OpenID сервером может стать любой сервер.
Опечатался. Имеется ввиду - любой сайт.

[@roboter]

Фишка то в том, что свой логин пароль ты вводишь на их сейте, что небезопастно.

[@voicer]

Ты ошибаешься.

Зависимая сторона может обмениваться с провайдером идентификации двумя способами:

* checkid_immediate — машинно-ориентированный, в котором обмен информации между серверами идёт в фоне, без ведома пользователя;
* checkid_setup — где пользователь напрямую обращается к сайту провайдера идентификации, используя тот же браузер, с которого он заходит на сайт зависимой стороны.

Большей популярностью в интернет пользуется второй способ. Кроме того, checkid_immediate может откатиться к использованию checkid_setup, если операция входа не может быть проведена автоматически.

Сначала зависимая сторона и провайдер (необязательно) согласовывают shared secret или секретный код — описатель партнёра (associate handler), который зависимая сторона сохраняет. В режиме checkid_setup зависимая сторона переадресует браузер пользователя к провайдеру. В данном случае браузер Васи переадресуется на openid-provider.org, где провайдер сможет опознать Васю.

Википедия

[@roboter]

Автор ошибается тогда: "Но тут сразу возникает вопрос доверия сайту, ведь зайдя под своей учеткой один раз - недобропорядочный администратор может сделать это еще раз - это минус."

[@voicer]

Ой. Прости, я не так тебя понял с самого начала.

Фишка то в том, что свой логин пароль ты вводишь на их сейте, что небезопастно.

Я понял так, что ты говоришь это про OpenID. Соответственно, цитата с wiki, которую я привел - про OpenID. А ты говорил про jabber.

Извиняюсь. Плюс в карму за беспокойство :)

[@roboter]

OpenID самая толковая технология авторизации.

[@sysprg]

Авторизацию через полноценные цифровые сертификаты использует, например, сайт французской налоговой службы.

[@zencd]

по поводу jabber.ru — вы так и не расписали «суть метода»

[@Beduir]

Это видимо по аналогии с Drupal. Если на сайте drupal.org зарегистрироваться под ником nickname, то потом можно входить на другие сайты на Drupal (в которых включена данная возможность) с ником [e-mail], без регистрации.

[@wiktar]

WebMoney авторизируется через сертификаты или ENUM. Крайне неудобно, нужно сказать.

А что насчёт авторизации через .NET Passport?

[@markshevchenko]

Начало в статье хорошее. И середина тоже.

А вот при чтении концовки сложилось ощущение, что автору срочно потребовалось куда-то бежать, и поэтому статья не дописана.

Методы авторизации выбираются не с потолка, а зависят от требований безопасности. Если речь идёт о клиент-банке, то OpenID, при всех его достоинствах, безопасным не является. Фактически, в этом случае необходим сертификат, и не просто сертификат, а полученный в банке лично.

Логин/пароль без мыла сейчас тоже нигде не используются (по крайней мере, я очень давно не видел). Как я выше написал, электронный адрес нужен, чтобы восстановить забытый пароль.

Ну и в копилку: существует ещё один метод, проприетарный и для интранета. Тем не менее, там он используется в полный рост. Речь идёт об Active Directory + IE + Integrated Windows Authentication. Говоря человеческим языком, пользователь входит в винду под своим логином/паролем в домене, и без паролей автоматически авторизуется на интранетовских сайтах. Поскольку несколько методов авторизации можно включить одновременно (скажем, Basic + Digest + Integrated authentication), пользователь из локальной сети может заходить на сайт без пароля, а из интернет-кафе — через Digest аутентификацию.

[@foi]

На хабрахабр удобная авторизация кстате
!

[@waitekk]

а еще есть авторизация по железкам - USB-брелки, например

[@dohlik]

>> простые - в смысле не требующие специальных устройств, например смарт карт, устройств для сканирования отпечатков пальцев, сетчатки глаз и т.д.

Читаем внимательнее :)

[@foi]

ага, чтобы зайти на наш сайт закажите usb-брелок (который через 2 недели придет) ! lol

[@741]

openid неплох, но не снимает проблемы, которая на мой взгляд сейчас становится достаточно актуальной - разведение виртуалов. Спам перестает работать, как следствие сейчас активно развиваются другие способы раскрутки, в частности видел логи одного форума, где один участник "рассказал" о ресурсе, а потом в течении некоторого времени ему отвечали "круто","спасибо" другие юзеры, с того-же московского adsl-ного IP, зарегистрированные с разницей в несколько минут, акция была относительно хорошо выполнена, виртуалы предварительно написали по несколько сообщений в разные ветки, с разной стилистикой сообщений. Теперь представим себе ситуацию когда такой виртуалмэйкер узнает о существовании tor... Наиболее адекватным решением против такого пиара мне видится связка логин/телефон, причем достаточно присылать на него пароль, а не java приложение. Да это решение не слишком секьюрно, но с одной стороны подавляющее большинство моих знакомых в той или иной степени используют одни и те же пароли во многих местах, у обычного юзера шанс пролюбить телефон находится на одном уровне вероятности с потерей email, а с другой стороны выловить пароль из gsm сложнее чем затроянить компьютер. Такое решение также позволит быстро и просто сменить пароль в случае его компрометации.

[@dohlik]

А что мешает завести по телефону на каждого виртуала?

[@741]

Никто не мешает, однако это требует дополнительных телодвижений, теоретически можно и хиты ручками накручивать, и фидбернер, но если раскрутка идет настолько серьезно, то можно и баннеров на хороших площадках прикупить...

[@dohlik]

Кстати, в первом пункте наверное все же простая авторизация, а не регистрация.

[@lomalkin]

спасибо, поправил)

[@JVasya]

А есть еще форма регистрации, которая называется "Извращенная" :-)
Vogue сейчас проводит конкурс и в пачки сигарет кладет вкладыши, на которых указана анкета, код, условия и сайт.
Я пошла на сайт (весь во флеше, табы естественно не работают). Жутко длинная форма. Ладно, заполнила, подошла к концу. В конце выяснилось, что бы получить логин и пароль надо заполнить еще и анкету во вкладыше (аналогична сайты) и сфоткать ее (!!!) или отсканить и отправить им. И только тогда ты получишь свой аккакаунт.

Стукнула того, кто эту хрень придумал :-(

[@ckald]

народ будет кричать о лишении конфиденциальности и тотальной слежке

[@ckald]

тем не менее, преценденты будут. мы же доверяем гуглу, а тем не менее сколько крику по поводу конфиденциальности почты.

[@voicer]

Ничего не мешает поднять собственный OpenID провайдер. Как и mail-сервак, впрочем :)

[@ckald]

я сойду с ума и потеряю работу, если каждый бухгалтер начнет поднимать серваки)

[@voicer]

:)
Ну каждый бухгалтер пользуется в общем случае mail.ru вместо установки себе mail-сервака.
Думаю, с OpenID ситуация та же.
Короче, не потеряешь ты работу :)

[@potapuff]

"на момент написания опуса не метод работает" подправьте

[@lomalkin]

спасибо, поправил

[@TiGR]

Jabber сейчас у многих, аккаунты есть - удобно

А если учесть тот факт, что любой аккаунт gmail — это суть тот же jabber, то картинка становится ещё более радужной и перспективной :)

[@roboter]

Если Google Сделает OpenID будет круто.

[@ckald]

тогда они точно будут иметь все рычаги для захвата вселенной)

[@garex]

У Вас попутано понятие авторизации с понятием аутентификации.

Авторизация — раздача прав.
Аутентификация — подтверждение, что я — это я.

[@ckald]

а ведь действительно. спасибо

[@lomalkin]

у автора в статье тоже =) просто я когда писал статью - решил писать "форма авторизации", "методы авторизации", т.к. это довольно распространенные понятия простому пользователю, хотя вероятно тут более уместным было бы "аутентификация" во многих случаях. Так и думал что найдется кто-нибудь, кто про различия в этих понятиях напомнит. =)
А уяснить для себя различия в данных понятиях помогут например 2 статьи у вики:
http://ru.wikipedia.org/wiki/Аутентифика…
http://ru.wikipedia.org/wiki/Авторизация

[@raptor]

Знаете, только не карайте сильно :), но все это по сути методы АУТЕНТИФИКАЦИИ в крайнем случае идентификации, но никак не АВТОРИЗАЦИИ.

Определение.

Разница между этими понятиями часто очень существенна. Хотя по большому счету, для очень многих людей, все три понятия - это одно и тоже.

[@raptor]

Блин 40 минут не было инета - не успел запостить первым. :( Еще и теги нельзя мне использовать.
Определение.
Авториза

[@lomalkin]

да, полностью с Вами согласен - уже откомментировал выше =)

[@amduscias]

На мой взгляд, OpenID - одно из наиболее удачных решений аутентификации (кстати, верно, именно аутентификации, а не авторизации). Очень много в свое время разбирался с этой технологией. Очень интересная, особенно если разобраться в тонкостях, Yadis... Кстати, читал где-то, что акаунты на Google являются OpenID-акаунтами.
А вот ENum, лично мне не понравился, как-то он странно работает, правда сталкивался с ним всего однажды, при попытки сделать доступ WebMoney Light. Хотя, возможно, во всем виноваты кривые руки.
Что до Jabber-акаунтов, идея интересная, и мне кажется тоже очень даже перспективная, учитывая его широкое развитие

[@xintrea]

Enum-авторизация - "это не привязка аккаунта к мобильному телефону, номеру". Это авторизация на основе одноразового шифроблокнота. Пользователю на телефон выдается java-приложение, в котором содержится _конечная_ таблица случайных паролей. Это и есть одноразовый шифроблокнот.

В центре выдачи java-enum приложения тоже сохраняется данная таблица, а так же уникальный номер шифроблокнота. При логине пользователь сообщает номер шифроблокнота и номер пароля который будет использоваться (java-приложение показывает эти два числа, чаще всего одним числом), после этого сервер выдает число которое пользователь вводит в java-аппликуху, число шифруется паролем, выдается на экран результат, и пароль удаляется из таблицы. Пользователь вводит результат на сайте и логинится.

Метод этот максимально взломоустойчив и уникален тем, что физически шифроблокнот хранится на мобиле а не в компе, что практически исключает доступ к нему из компа.

Однако удобства от этого метода мало, и нужен он только в действительно защищенных веб-сервисах типа в при логине в вебмани или в каку другую систему интернет банкинга.

[@lomalkin]

про ENUM и в частности про мое описание как "привязка \"аккаунта\" мобильному телефону, номеру" - я так написал потому, что буквально недавно восстанавливал аккаунт на яндексе через смс, яндекс отправил сообщение с кодом подтверждения мне на мобильник (отправляется при правильном указании номера, такого же, как указанный при регистрации) - таким образом восстановление пароля привязано именно к номеру телефона - получается вроде как разновидность ENUM, но реализовано по-другому и выделять это в отдельный тип аутентификации не вижу смысла, но метод имеет место быть и реально применяется.

[@azproduction]

Ещё несомненный плюс "Enum - авторизации" — IQ-контроль пользователя /* блондинко не проидет :) */ Таже неплохая приграда для ботов.

[@Lite]

Я решил главную проблему первого метода с помощью FF-расширения PasswordMaster. Если коротко, то на основе мастер-пароля и доменного имени сайта генерится довольно сильный пароль для этого сайта. Зная этот пароль восстановить главный невозможно. Так что достаточно держать в голове один единственный мастер-пароль.

[@lomalkin]

помнится года 2-3 назад даже писал для себя некоторую утилиту, позволяющую генерировать на основе простого пароля (или как раз имени ресурса, напр. "[e-mail]") довольно длинный и очень устойчивый ключ, который мог использоваться как пароль на любом ресурсе (буквы в разном регистре, цифры, спецсимволы), думал будет удобно, но немного попользовавшись отказался от этой идеи, т.к. необходимо таскать такое с собой везде где может понадобиться, не удобно. То же самое, как я понимаю, и с плагинами к браузеру - можно использовать только если выходите все время с одного компьютера, а таскать с собой его впринципе нельзя, да и в каком-нибудь интернет кафе - тоже не поучится воспользоваться. У самого даже была идея переписать под веб, в виде серверного скрипта, но тоже отказался - теряется вся надежность, даже при условии защиты самого такого скрипта, хотя может кто-то и использует.
P.S. А лучше всего конечно научиться считать в уме md5() или ей подобное ;)

[@Lite]

Воможно я неточно объяснил. Для генерации пароля для сайта используются и мастер-пароль, и доменное имя. И прошу прощения, расширение называется PasswordMaker. Есть онлайновая версия: http://passwordmaker.sourceforge.net/pas…

[@lomalkin]

ну при написании собственной утилиты это и не важно, есть там мастер пароль или нет, фактически там есть закрытый алгоритм, который подразумевает наличие какого-либо мастер ключа, закрытого, который и используется для генерации. Но суть понятна.
А эта онлайн-версия генерирует все по такому же алгоритму, как и плагины? Т.е. при генерации через плагин или онлайн версии - результат одинкаов? Например при недоступности плагина я могу воспользоваться онлайн-версией и наоборот? Спасибо.

[@Lite]

Генерирует одинаковые значения при алгоритме MD5, длине пароля 8 и самом длинном наборе символов.

[@lomalkin]

кстати очень полезными будут скрипты по Вашей ссылке - для генерации хешей по различным алгоритмам, некоторые из них вероятно буду использовать. Плюс)

[@maxic]

Если бы OpenID был так как хорош, как ему пророчили... все бы сидели на openid, но и openid есть минусы. Один из них "сложность" для веб-мастеров и привязка к другим серверам, которые перечеркивают всё хорошее.
Я думаю старый login/password еще очень долго будет "рулить".

[@lomalkin]

сложность - уже нет, есть готовые библиотеки например на PHP, позволяющие привязать этот метод куда угодно, при этом не разбираясь в тонкостях реализации. Есть также что-то под .NET, уверен что и под другие платформы что-то уже написано или может быть написано.