Lorsqu'une personne insère un ID ouvert sur votre site, vous authentifiez l'utilisateur en demandant au site où réside OpenID de l'utilisateur (et uniquement ce site) si cet utilisateur est correct. AOL ne peut pas valider un Yahoo OpenID, par exemple.
Si l'utilisateur n'est pas déjà authentifié sur ce site, l'authentification échoue et vous devez rediriger vers la page de connexion de ce site. Une authentification réelle doit encore se produire, mais cela arrive toujours avec le fournisseur OpenID pour cet utilisateur. En tant qu'utilisateur, vous êtes protégé car vous ne devriez voir que la page de connexion que vous connaissez. Un site malveillant aura du mal à siphonner les informations d'identification OpenID, car les utilisateurs ne donnent jamais directement ces mots de passe à ces sites. Une fois que l'utilisateur est authentifié auprès de son fournisseur (ou dès le départ), le fournisseur le signale à votre site Web. Ce qui change pour OpenID, c'est que votre site a maintenant besoin de faire confiance à certains autres sites - qu'ils signaleront avec précision le statut de leurs utilisateurs. Quelqu'un pourrait mettre en place un fournisseur d'ID ouvert "malveillant", et essayer d'écrémer de nouveaux identifiants de cette façon, mais c'est entre un utilisateur et le fournisseur. Puisque cette authentification est une question de réputation, l'idée est qu'un tel fournisseur ne resterait pas longtemps en affaires. Si rien d'autre, les sites pourraient blacklister ces fournisseurs. Un fournisseur malveillant ne serait pas en mesure d'usurper l'identité des ID ouverts enregistrés auprès d'autres fournisseurs.
Une autre possibilité pour un fournisseur malveillant est de configurer un service OpenID qui confirme simplement toujours tout identifiant qui lui est passé pour l'authentification (ou qui permet à un administrateur de configurer une porte dérobée pour ses utilisateurs). Cependant, cela n'affecterait que les utilisateurs enregistrés auprès de ce fournisseur. Encore une fois, les sites pourraient dresser une liste noire de ces fournisseurs, et comme ils misent sur la réputation, l'idée qui ne resterait pas longtemps en affaires tient toujours.
Quel mal y a-t-il à perdre votre OpenID? Vous devez toujours vérifier votre identité auprès du fournisseur OpenID avant que tout dommage ne puisse être causé. –
Vous devriez probablement modifier le titre ou le texte. Je comprends le titre comme demandant des dangers d'utiliser OpenID en tant que développeur (comme SO), mais le texte est sur les risques du point de vue de l'utilisateur. – phihag
Quelle est votre question? Les URI OpenID sont publics. Le mien est http://www.aaronhockley.com - il n'y a rien à phish. L'authentification du fournisseur OpenID, pas de la partie utilisatrice. – ahockley