«Делаем стартап гостеприимным» или «Как использовать OpenID на своем сайте»

[@Cooluck]

сколько можно рекламировать Drupal, тем более с ссылками?

[@amartyno]

оффтоп: а в чем интерес данному конкретному пользователю рекламировать друпал?

[@Cooluck]

офтоп: у меня нет желания выяснять. Проглядываю тенденцию постоянного упоминания Друпал, а особенно с ссылками, где только можно.

[@at_life_story]

Рискую... Но всё же... Я правильно понимаю, что конфиденциальные данные попадают в OpenID? Т.е. пароли к дневникам и соответственно ко всему остальному???

[@at_life_story]

Вопрос одновременно содержал и критику всего этого сервиса, сэр. Зачем мне отдавать в ведение дяде всю информацию о себе? Чтобы он собирал и продавал статистику и всё личное обо мне, моих интересах, друзьях... И т.д. Анализировал. Отдавал конкурентам и врагам... Нет. Я говорю нет. Вообще сам хочу такую сеть сделать =) Чтобы иметь обо всех компромат.

[@at_life_story]

Оно того не стоит =)))))

[@atri]

это папанойя

[@atri]

*паранойя

[@TonyClifton]

Натуральная папанойя!

[@leandr]

А что, клевое слово, мне кажется:-)

[@atri]

весьма )

[@veter]

Бог ты мой! Вас же никто не заставляет пользовать OpenID, верно? Более того, никто не запрещает вам завести свой сервер, который будет проводить аутентификацию по OpenID, не выдавая личной информации.
С другой стороны, следующим шагом следует отказаться от звонков по мобильнику, которые может проанализировать мобильный оператор, покупок в магазине, который может собрать все Ваши чеки и т.д. Запереться на скалистом острове в Северном море и надеяться, что этот остров не сфотографирует Гугл со спутника.

[@at_life_story]

Вы перешли на личности. К сожалению, я ещё здесь новичок. Но отвечу. Я не совсем понял. И спросил - теряю ли личную информацию? Мне ответили. Если теряю - это означает, что со всех моих блогов в этот OpenID будет сливаться вся инфа обо мне. А что я получаю взамен??? Вот и написал, что "это того не стоит". А насчет остального, скажу вот что: я прекрасно понимаю на что иду пользуясь товарами и услугами, которые мне необходимы. И пользоваться ими лучше, чем не пользоваться и сидеть-медитировать в пещере.

[@veter]

Боюсь, Вы неверно поняли саму технологию.
OpenID это не сервер и не единая система учета пользователей. Это просто протокол, по которому пользователь одной системы может использовать возможности другой.
Для примера, если у вас УЖЕ есть аккаунт в ЖЖ (в котором Вы сами заполняли свои данные), то используя этот аккаунт Вы можете, например, оставлять комментарии на Хабре. Хабр при этом получит Ваше имя с фамилией и допустим пол.
Конечно, при желании владелец сервера может пойти и слить содержимое вашего дневника. Но только те записи, которые Вы сами выложили в открытый доступ.
Если же Вы не доверяете ЖЖ, то поднимайте свой сервер, настраивайте там класс, умеющий проводить аутентификацию по OpenID и выдавайте только ту информацию, которую сочтете нужной. Правда никто не гарантирует, что OpenID от Вашего сервера будут принимать другие сервера.. если только Ваш сайт не tema.ru

[@at_life_story]

Спасибо, приятно читать. Развернутый ответ и всё по существу. В целом, ясно: экономия времени на регистрациях, что с учетом того, что блогов становится больше, действительно неплохо. Но торопиться не хочется. Нужно чтобы эта технология выжила =) Чем больше разговоров, тем меньше отдачи...

[@neoromantic]

вы не правы

[@neoromantic]

там нет никакого шифрования вообще. Оно не так устроено.

openid "запускать" никуда не надо. Оно есть и работает. Оно есть у livejournal, у moikrug, у blog.ru, у яндекса, у wordpress, у десятков других сервисов.

это не какой-то "проект". Это технология.

[@den_rad]

А как они могут попасть?
OpenID клиен будет знать, что вы действительно авторизованы на OpenID сервере, а OpenID сервер будет знать, на каких сайтах вы авторизуетесь - и все

[@at_life_story]

Простите, вы отвечаете вопросом на вопрос. Это нужно было задать kenoko. Так как не я, а он ответил, что "Это всё плата за тот комфорт, который Вы получите." Я только спросил...

[@rglab]

Пароли никуда не передаются, в этом суть технологии. Сервера обмениваются "секретом", сервер провайдера вешает идентификаци в куки - но пароль за его границы не выходит. Зато выходят такие немаловажные данные как email...

[@arty]

хм, а откуда у вас такие сведения про «выход» емейла?

[@rglab]

В Simple OpenID PHP Class вот таким простым макаром $openid->SetRequiredFields(array('email','fullname','dob','gender','postcode','country','language','timezone')); от провайдера берутся поля профиля
Заявлено следующее
OpenID allowes you to retreive a profile

[@arty]

хм, ну так это провайдер такой, что отдает все эти поля. Можно выбрать того, кто этого не делает, а таких сейчас большинство.

[@rglab]

Верно, MyOpenID.com отдает профиль, ЖЖ только
[openid.assoc_handle]
[openid.signed]
[openid.sig]
[openid.mode]
[openid.identity]

[@o4kapuk]

Адекватный OpenID провайдер предупредит пользователя, какие данные запрошены в качестве обязательных. А пользователь сам уж решает предоставлять стороннему сайту свой email или послать такой сайт подальше, отказавшись от авторизации.

[@cloud]

Пароли -нет, передаются только те данные которые разрешены политикой того сервера, на котором у вас OpenID

[@ivanov]

Лениво читать, чего там внизу. Первые комментарии не блещут пониманием вопроса.
Неправильно понимаешь. Пароли никуда никакие не передаются. В рекомендованной схеме ты вводишь _одну_ строку со своей хомстраницей, где есть указание твоего OpenId провайдера.
То есть, никаких паролей вводить не надо.

Насчёт компромата. Ты можешь поднять у себя на сервере свой собственный провайдер и никому ничего не отдавать. Плюс ЖЖ и так всё собирает и совершенно безвозмездно сдаёт любому желающему - достаточно зайти в профиль и посмотреть, чего там за интересы и и друзья =)

[@putnik]

Сразу отвечу и kenoko, и expl.
OpenID сам по себе действительно позволяет использовать единую запись и не создавать других. Но при этом сам сайт вполне может создавать учётную запись при идентификации по OpenID (причём, пользователю об этом не обязательно знать) и хранить в ней нужные настройки.

[@foxweb]

Спасибо за статью, искал так пассивно что-то по этой тематике, буду знать.

[@Lola2grp]

И написано тож не плохо. Приятно читать! :)

[@rybnadzorro]

Про мой любимый Perl не вспомнили ;(

[@neoromantic]

это блог php

[@rglab]

Библиотеки для имплементации на Perl:
http://www.openidenabled.com/openid/libr…
http://search.cpan.org/perldoc?Net::Open…
http://search.cpan.org/perldoc?Net::Open…
http://netmesh.org/downloads/
http://code.sxip.com/openid4perl/

[@wii]

Я с большой опаской отношусь к данному проекту. Возможно так же, как когда-то далекие мои предки боялись "приближающегося поезда".
В описание сайта встречается
> This is not a trust system.
> Again, this is not a trust system.

Думаю, на начальном этапе это стоящая вещь для таких проектов как лайвжурнал, вордпресс и т.п. (возможно "моего" стартапа). А для конечного пользователя это уже на вкус и цвет, как говорится.

На поездах все же ездият. Кто знает. А действия google вполне для них естественны. Я не говорю о том, что гугл все скупает. Я имею ввиду объединение сервисов, о их желании "найти мои ключи в комнате" (см. предыдущие топики). Думаю, это еще один шаг к их цели.

Я встречался ранее с ОпенID. После хабра я, думаю, почитаю предложение сервиса повнимательнее.

[@neoromantic]

разберитесь в технологии. В ней нет ничего страшного.

[@arty]

они говорят "This is not a trust system" для того, чтобы подчеркнуть: наличие у человека openid не гарантирует, что это хороший человек, так же, как и наличие паспорта. Если хотите, можете считать openid паспортом.

[@wii]

Сказка ложь, да в ней намек. Но должна же быть более серьезная защита.

[@MikeOzornin]

Регистрация на OpenID-серверах недопускающая массовую регистрацию спам-аккаунтов, ведение белых/чёрных списков OpenID-провайдеров призваны решать проблема спама.

[@den_rad]

Интересно, а есть библиотеки для создания OpenID сервера, чтобы мои пользователи могли авторизовываться на других сайтах?

[@neoromantic]

есть. гугл подскажет по запросу "php openid server library". Скажу еще только, что почти все библиотеки из вышеперечисленных умеют openid server.

[@joukov]

А как дела со спамом обстоят? Ведь поднять у себя OpenID сервер задачка для старшеклассника и потом делай с ним что хочешь, пиши где хочешь...

[@romantolkachyov]

Вот это реальная проблема, а не бла-бла-бла про конфиденциальную информацию (ИМХО, бред). Думаю даже, что появится сервис, который будет аппровить все запросы авторизации для пользователей с любым именем, для "облегчения трудов народных спамеров".

[@rglab]

Этим вопросом как раз задавался кое-то из лидеров проекта OpenID и в результате воплотил свои идеи в Yadis( http://yadis.org/wiki/What_is_Yadis)
* Single sign-on across web sites
* Profile exchange and form filling
* Blog anti-spam

[@veter]

А никто не мешает у себя в форме, где используется OpenID вести фильтрацию по черному/белому списку.

[@joukov]

Было бы все так просто. Поднять openid можно вообще по любому url'у. Как только кол-во сайтов использующих openid перейдет какую-то цифру проблема спама всплывет, причем так что мало не покажется.

[@huh]

Ага. Поднять скрипт, отвечающий по openid, можно будет на любом бесплатном хостинге, поддерживающем тот же php. После чего можно будет спокойно спамить. Уверен, что эта изначальная непродуманность убьет технологию, как сейчас убивается электронная почта. Открыть возможность комментирования через openid авторизацию - все равно, что не закрывать ее для анонимусов вообще. В итоге - возврат к капчам и прочим костылям.

[@joukov]

Во-во! Причем они об этом прямо на сайте пишут, что отличать нормальные openid урлы, ваша личная проблема.

Одно дело привязать готовый аккаунт к openid и совсем другое делать регистрацию по нему. Вот второе скорее всего и не уживется.

[@veter]

Если мало не покажется, включайте белый список, пуская только людей из проверенных временем доменов.

[@joukov]

Ну и вся соль технологии теряется, к сожалению. Спамеры скоты всю кровь из людей выпить готовы.

[@veter]

Хм.. ну, вообще я думаю, что 99% пользователей будет из достаточно небольшого количества доменов.
Потом в принципе черный список доменов будет спасать очень уверенно. Если в е-мейле подделывать обратный адрес умеют даже грудные дети, то в случае OpenID этот фокус не пройдет.
Ну и наконец, можно делать своего рода "серый" список. То есть проверенные домены пускать сразу, а неизвестные оставлять для проверки администратору/модератору. Это создаст некоторые неудобства пользователю, конечно, но отсечет спамеров с высокой долей вероятности. Во всяком случае автоматических спамеров должно остановить.

[@joukov]

Хотелось бы верить!

[@veter]

Ну не захватили же спамеры пока ЖЖ. :) Хотя периодически и возникают роботы. Их банят и система продолжает работать дальше.
Во всяком случае механизм отсева существенно эффективнее, чем для е-мейла и открытых гостевых книг. А процесс рассылки существенно сложнее.
Поэтому "порог вхождения" для спамеров станет выше. Что лишит их теперешних преимуществ в цене. Хочется верить, что лишит.

[@veter]

Дополнительной фильтрации нет. Это просто фишка для быстрой авторизации.

Вопрос в том, напишите ли вы механизм регистрации для своего стартапа, который будет более защищен от авторегистраций, чем тот же ЖЖ? :)

Естественно, в систему управления АЭС по OpenID лучше не пускать :) Для подавляющего же большинства проектов это будет вполне приемлимое решение.

[@Trotil]

Проясните такой момент:

>> на этот раз вы авторизованы на ЖЖ под своей
>> «вордпресосвской» учетной записью.

Под каким логином там будет оставлена запись в ЖЖ?

[@nini]

что то типа username.wordpress.com

[@doob]

скорее не запись, а коммментарий с ссылкой на идентификатор

[@rglab]

Вот я себе для примера оставил комментарий с myopenid-шного аккаунта
http://dsheiko.livejournal.com/37893.htm…

[@korj]

ага, а со временем (когда спамеры зашевелятся), заведется списочек валидных openid-серверов который будет курировать гугл ...

[@Davert]

А ещё вопрос. Нормально ли с OpenID использовать автологин? Например, на одном сайте, куда я всегда захожу с OpenID меня всё время просят пройти авторизацию через сервер. Даже если я там указываю, чтоб не спрашивать пароль для этого сайта.

[@rglab]

Есть две модели
checkid_immediate - авторизация происходит в фоне, без участия пользователя
checkit_setup - то что обычно и используется, с редиректом пользователя на сервер провайдера OpenID для авторизации

[@miolamio]

Сдается мне, это дело рук гражданина по имени Brad Fitzpatrik. Мы с ним встречались в Москве этим летом, он рассказывал об этом проекте, но не вдавался в технические подробности и не раскрывал названия =)

[@rglab]

Круто. Да действительно исторически инициатор идеи - Brad Fitzpatrik из LiveJournal.

[@ilyas]

а есть ли плагины для входа как юзер LJ, Openid для WordPress?

[@rglab]

Начиная с версии 1.6 http://codex.wordpress.org/Version_1.6

[@ilyas]

спасибо. надеюсь найду по ссылке

[@Aleco]

Чтобы понять что такое OpenId удобно сравнить его с валидацией емайла при регистрации на форуме. Только здесь валидируется не емайл, а урл.

С точки зрения достоверности, безопасности и прочих трастов - аналогия полная. Вы просто доказываете сайту что можете читать емайл (владеете урлом) не передавая свой пароль сайту.

Отличия - в большей приватности. По отвалидированному урлу нельзя слать спам. Какую информацию там публиковать - исключительно ваша прерогатива.

Второе отличие - скорость и удобство. Вместо танцев с бубном: открыть почту в новом бровсере, залогиниться, дождаться письма, кликнуть на линк валидации - за вас все делает протокол Open ID. Все происходит примерно так: по клику Логин на вражеском сайте происходит несколько редиректов и вы оказываетесь на странице своего сервера OpenID. Он спросит вас ваш пароль (или возьмет его из куков), уточнит действительно ли вы хотите авторизоваться на этом вражеском сайте и если все ок заредиректит вас обратно на вражеский сайт с одноразовым секретным кодом в урле. Все.

Что там будут делать с вашим OpenId - заботы вражеского сайта. Цель тут одна - доказать что OpenId ваш, не выдавая паролей. Так же как и в случае валидации емайла.

[@timurkar]

Аналогия хорошая, хочется только добавить к отличиям от email'а то что OpenID может выдавать профиль (одно из важнейших отличий), e-mail - нет

[@rglab]

Список всех провайдеров OpenID http://openid.net/wiki/index.php/Public_…

[@lzheavtor]

Вывод1: Глобализация становится еще более "глобализированной". Ждать катастрофы.
Вывод2: С этой технологией контролировать действия человека становится намного легче (наверное, военные спонсировали изобретение этой технологии:)).
Вывод3: Но как удобно-то!
Вывод4: Буду использовать:)

[@cloud]

Simple OpenID PHP Class - по-моему не работает с livejournal (раньше во всяком случае не работал)

[@rglab]

Мда, но я похоже нашел ошибку. В спецификации http://openid.net/specs/openid-authentic… сказано что для режима check_authentication требуется POST HTTP-метод.

Остается просто добавить в начало функции CURL_Request() (class.openid.php) следующую проверку

if(isset($params["openid.mode"])) $method = "POST";

Сейчас у меня ответ VALID. Отписал автору про траблу

[@affect]

Все идет, господа, к единой системе авторизации. В свое время Microsoft пыталась всем впарить свой .NET Passport (кстати очень удобная штука, но платформо-зависимая), но тогда, по всей видимости, время не пришло для подобной идеи.

[@rglab]

Лидеры движения OpenID упоминают (http://openid.net/pres/2007_Web2Expo_Imp…) глобальные проекты в следующем ключе

Liberty Alliance Project (http://www.projectliberty.org) – хорошо для предприятий
TypeKey (http://www.sixapart.com/typekey/) – централизованная
Microsoft Passport Network – централизованная

[@rglab]

Еще насчет будущего OpenID ролик http://www.archive.org/details/thefuture…

Мда прикольно подано:
1) Web authentication completely sucks
2) MS Password и TypeKey неплохие технологи, но.... фото "веселых ребят" под стендом The "Wow" starts now - комментарий: "Would you trust these men with your identity?!!!" - отличный ход! But what if they turn evil?
и т.д. включая ответы на критику What's wrong with it?!

[@rglab]

А неатуальный свой комментарий удалить нельзя? Ладно развернутый вариант, оно того стоит:

Еще насчет будущего OpenID ролик http://www.archive.org/details/thefuture…


1) Web authentication completely sucks :)

2) MS Password и TypeKey неплохие технологи, но.... фото "веселых ребят" под стендом The "Wow" starts now (http://www.somejunkwelike.com/wordpress/… - неплохая шутка) - комментарий: "Would you trust these men with your identity?!!!" - отличный ход! But what if they turn evil?

3) Показан интересный сервис http://idproxy.net/. Проекты с The Long Tail, типа Yahoo могут быть вовлечены в мир OpenID сторонними разработчиками. IdProxy.net позволяет вам преобразовать ваш Yahoo аккаунт в OpenID и использовать где ни поподя

4) Необходимость OpenID - См. TechCrunch ссылается на стартапы Веб 2.0 каждый день (между прочим как ХабраХабр и Интересные штучки), но его читатели не собираются регистрироваться на каждом новом проекте. Почему им не входить на эти стартапы уже будучи авторизованными с TechCrunc?!

5) Про модерацию. Предлагается:
* Публикация списков OpenIDs, которым вы доверяете комментирование в вашем блоге без модерации
* Синдикация этих whitelists от друзей

Что-то похожее реализовано на Jyte

и т.д. Ролик стоящий

[@rglab]

Ко всему прочему также хотелось бы добавить. Есть любопытный сервис Sxipper (http://setup.sxipper.com/tryitout). Они предоставляют плагин для Firefox. Пройдя регистрацию в нем вы получаете учетную запись OpenID и при авторизации на прочих проектах типа Livejournal вы сразу же получаете подтверждение подлинности.

[@den_rad]

И при использовании OpenID ничего не устанавливается, только браузер нужен :) У One-Face аудитория на два-три порядка меньше, чем у OpenID

[@rglab]

В странное русло зашла дискуссия. Причем тут One-Face? OpenID - это фактически стандарт. Все больше крупных (реально крупных AOL, Yahoo, Blogger, Wordpress, Vox, Ma.gnolia, ЖЖ, 40млн. клиентов Orange ) проектов опираются на него. Обратите внимание какие люди http://openid.net/foundation/ двигают его. Разве это можно сравнивать с локальным проектом One-Face.ru с сотней мелких сайтов?

[@rglab]

Здесь каталог сайтов с OpenID http://openiddirectory.com/

[@Arsenichev]

Российский каталог OpenID сайтов loginza.ru/openid-catalog

[@putnik]

Лично мне непонятно, почему все молчат про Yadis (только ссылка оригинальном посте и ещ в одном, но без продолжения). Ведь куда приятнее идентифицироваться на «вражеском сайте» как vasya.ru, а не как vasya.something.ru. Благо, что достигается это с помощью элементарных операций, в отличие от поднятия собственного OpenID-сервера.