Алгоритм: избавляемся от паролей на разные ресурсы — используем почтовый ящик

[theOnlyBoy]

ru.wikipedia.org/wiki/OpenID

[kirs]

да-да, понятно :)
но, чтобы реализовывать OpenId в своем проекты — нужны библиотечки всякие(или самому протокол общения ковырять). да и культура OpenId, по моему, у обычного пользователя никак все не приживется — он не понимает что это :) а тут все-таки попроще и реализация и для пользователя — ему все понятно говориться: «введи почту, ищи письмо, тыкай».

[alcanoid]

У обычного пользователя это не приживается из-за малой распространённости OpenId — пользователь в основной своей массе пока ещё не столкнулся с этим и не понял всей прелести данной парадигмы.

[kirs]

так и есть. а мыло у них прижилось :)
и можно, попробовать, использовать это.

[Chikiro]

Надо пользователей знакомыми словами приманивать ЖЖ, гмейл, яндекс — там уже есть OpenID :)
А пользователь видит:
«введите адресочек своей электронной почточки и получите доступ + вам не придется запоминать тысячу паролей»

[kirs]

У gmail, насколько я знаю нет официальной поддержки OpenID. Есть только разработка 3х лиц на GAE — и эта разработка никакого доверия у пользователей не вызывает в плане кошерности :)

[farcaller]

есть у них и своей, официальный: code.google.com/apis/accounts/docs/OpenID.html

[farcaller]

*свой

[kirs]

Ок, я хочу залогинится на сайте с гугловским OpenID.
Идентификатор какого вида вводить?

[farcaller]

Если честно, не помню, там было что-то достаточно длинное. Но вот Clickpass например гугловый OpenID враппит очень удобно.

[kirs]

Так вот я о чем и говорю — вроде бы все шоколадно и все есть… И у гугла есть поддержка OpenID, вроде бы.

Но когда речь заходит о практике — начинают сложности всякие возникать.
Вот как НЕ-ИТшнику выяснить что делать с гугловским OpenID и где его искать…

Я сам когда хотел обзавестись «единым и надолго» OpenID аккаунтом — так и не смог этого сделать. Google, насколько я понимаю, все-таки нифига не поддерживает :) А ЖЖ, яндексом, я активно не пользуюсь.

Сделать из своего сайта OpenID провайдера для себя — ну можно, впринципе. Но так лень! :)

[farcaller]

Ну у меня лично OpenID завернут как раз таки на мой сайт, спроксированный на myopenid. Впрочем на тех сайтах, где есть возможность быстро залогинится через гугл — я таки логинюсь через гугл :)

[Kakysha]

почему во всех топиках, где упоминается OpenID обязательно заходит разговор о его нераспространенности и «незнании средних юзеров о том, что это такое»? Странная тенденция…

[kirs]

Потому что он, вроде бы, и решение отличное всех проблем, но на практике, что-то с ним не то :) — и разработчикам не так удобно как хотелось бы и пользователям.

[mironoff]

А мне нравится идея, я бы пользовался, а то на самом деле куча паролей надоели. При такой схеме в принципе и регистрация не нужна.

[KLUBS]

Решение2: можно подумать над плагинами к броузерам, которые при виде подобной схема сами лезди в почту, брали URL, удаляли письмо и т.д.

Зачем? если есть замечательная функция сохранения паролей =)

[kirs]

о какой замечательной функции идет речь? броузеры когда запоминают сами?
если да, то это отличная штука для одного компьютера и до первого сноса броузера/системы.
хотя может и бекапить можно и синхронизировать их…

[KLUBS]

Как альтернатива хорошо, избавиться от бумажек и т.п. Только с удобством как то так. может сохранять прямые ссылки в закладки. это быстрее всех вариантов

[kirs]

Что с сылками делать — это вопрос на проработку.
Как вариант — хранить в отдельной папочке на почте — как список всех своих «паролей».

И ничего такого небезопасного в этом нет — сейчас практически любой пароль можно через почту так или иначе восстановить.

[Stalker_RED]

и бекапить можно, и синхронизировать их…

[alcanoid]

Сразу вопрос: как по такой схеме безопасно авторизоваться на чужом компьютере? Секретный URL сохранится в истории браузера, а ведь не каждый пользователь догадается её очистить.

[kirs]

да — это минус, надо его записать :)
возможно решение: урл будет одноразовым — один раз воспользовался — заправшивай новый при следующей необходимости.

[alcanoid]

Тогда серьёзно вырастает почтовый трафик.

[kirs]

Ну если с чужого компа работаешь, может и надо будет каждый раз запрашивать урл(почему то на ум приходит новый термин этого процесса «получить рабочую сессию » :)).
а если это твой комп — то после захода можно поставить куку, и 2 недели не беспокоится ни о каких лишних телодвижениях.

[alcanoid]

Ситуация №1: домашний комп, единственный браузер, муж и жена, имеющие по аккаунту в данной системе. Будучи не шибко продвинутыми пользователями, супруги не могут или не хотят устанавливать другой браузер, и каждый раз при использовании системы вынуждены завершать сессию. В итоге, каждый вечер им отправляется как минимум два письма. Случай не самый редкий, согласитесь.

Ситуация №2: в девять утра десяток-другой тысяч пользователей, придя на работу, запрашивает одноразовые ссылки для авторизации на рабочем компьютере. Случай просто неизбежный. Учитывая наличие широкого спектра часовых поясов, наплывов ежесуточно будет несколько.

[kirs]

Хорошие ситуации :)

Для ситуации 1 — в нашей семье для гугля исопльзуются разные броузеры — жена в сафари я в FF…
но для mail-o-login-а я решения не вижу — придется тыкаться в ссылки в почте.

Ситуация 2 — тоже не вижу решения. да, нагрузки будут, пики будут.
интересно, какая нагрузка на отсылку письма по сравнению с логином по тому же OpenID…

[alcanoid]

Не передёргивайте! По условию, браузер единственный! :) Следовательно, рассмотренные юзеры получат много лишней суеты с получением новых ссылок.

По второй ситуации проблема не только в нагрузках: есть подозрение, что некоторый процент писем не пропустят спам-фильтры. Письма, надо понимать, идут с одного адреса и практически одинаковы по содержанию, рассылаются массово.

[kirs]

Я же не спорю :) Я со всеми проблемами в ситуациях согласен и в топике добавил «минусы» от вашего лица. Сейчас еще про спам минус добавлю…

[alcanoid]

Что ж Вы дальше не цитируете:

Будучи не шибко продвинутыми пользователями

Вы действительно никогда не видели людей, у которых на компьютере один аккаунт и один браузер (не будем говорить, какой именно)? Зачастую даже не столь от неумения, сколько от нежелания и лени.

[alcanoid]

В общем, согласен! Неудобства у них будут в любом случае, но при стандартном логине им придётся авторизовываться непосредственно на сайте, а при рассматриваемой схеме — вначале запрашивать на сайте новую ссылку, потом логиниться в почте, а потом уже переходить по волшебной ссылке обратно на сайт. Конечно, если они пользуются разными почтовиками, им будет чуть проще, но лишних действий всё равно появляется некоторое количество.

[sl_bug]

Кроме openid, я бы предложил прикрутить авторизацию через facebook и vkontakte(не пинайте за упоминание :) ). Данных способов достаточно для безболезненной авторизации большинства юзеров :)

[alcanoid]

Это смотря где авторизовываться! :)) Бывают сайты, где светить фамилию (или, по крайней мере, аккаунт, связывающий тебя с реальными знакомыми) крайне нежелательно.

[sl_bug]

тоже логично, но вариант со ссылкой на почту тоже не катит. я не хочу светить свое мыло и скорее всего буду использовать spam.su для данной авторизации. так что в данном случае для пользователя удобнее и безопаснее facebook (openid и т.д.)

[alcanoid]

Так я о том же! Больше openid — хороших и разных! :)

[sl_bug]

главное чтобы в «хороших и разных» было как можно меньше геморроя для пользователя :) Чем меньше он совершает действий, тем больше шанс, что он будет использовать наш ресурс…

[kirs]

— Во первых, этот урл помнить не обязательно. Вернее абсолютно ненужно. В любомй момент его можно запросить и воспользоваться им.
— Во вторых, про то, что он уникальный, невозможно подобрать… — такой урл сейчас есть на каждом ресурсе где есть сессии пользователей — ресурс/?SESSION_ID — если знать этот ID можно зайти в сессию пользователя. Так что в этом плане ничего нового или сложного :)

[kirs]

В этом подходе нового нет абсолютно ничего в техническом плане.
Единственное, я хотел взглянуть на привычные вещи с иной стороны.

Всем приходят ссылки на подтверждение email после регистрации.
Вот и подумалось, а может есть вариант малой кровью сделать этот вариант авторизации основным и тем самым избавится от:
— необходимости изначальной регистрации
— необходимости создавать и хранить пароли разные

[kirs]

Да, я давно видел этот сервис — понравился их подход.
Одно только чувство не покидает, когда читаешь условия их «регистрации»: «Блин, продолбаю же я рано или поздно этот букмарк...» :)

[alist]

Хмм, несколько альтернативный взгляд на проблему. Есть куча сервисов, где приходится указывать данные кредитных карт. Использовать там какой-то стандартный пароль не хочется, поэтому обычно придумываю что-то архисложное и уникальное.

Далее, некоторыми из них пользуюсь часто, и там пароль запоминается. А другими реже, и приходится использовать восстановление пароля через email. Процесс этот напоминает предложенную автором авторизацию (с той разницей, что пароль новый придумать просят). Фактически я могу назвать штук пять сервисов, где я пароль вообще не запоминаю, а просто использую восстановление.

Это просто дополнительный взгляд на проблему с т.з. пользователя.

[kirill533]

Если и предоставлять такую возможность — то как альтернативу наряду с использованием пароля.

В общем-то подобные ссылки для входа получает каждый, кто получает уведомления о комментариях от хабра. (ссылка Ответить)

[kirs]

Использую :)
Я же не к тому, что всё, пепец, пароли никуда не годятся. Я к тому, что а вдруг мы сможем найти что-то хорошее, светлое, вечное и улучшить жизнь человечества :)

[kirs]

Просто я видел некоторые слитые базы паролей в открытом виде. И такие супер хитрые алгоритмы щелкаются на раз :) И подобрать пароль к другому ресурсу для этого пользователя — не составляется труда — сменить только имя ресурса в пароле.

[Busla]

одна проблема: почта — не IM, она просто по своему определению не обязана приходить мгновенно

[kirs]

Как выяснилось, эта проблема не одна :) Минусов масса.
К сожалению, не все проблемы в данном алгоритме решаются.