Google, Yahoo en Microsoft treden toe tot Openid-stichting

Medewerkers van Google, Yahoo, Microsoft, Verisign en IBM vormen het eerste bestuur van de Openid-stichting. De vijf grote internetondernemers willen het gebruik van het open identiteitsframework stimuleren.

De Openid-stichting heeft versterking van Microsoft, Yahoo, Google, IBM en Verisign gekregen. Met het framework dat de stichting beheert is het mogelijk om accountgegevens te beheren en zo een digitaal 'paspoort' te creëeren, zodat afzonderlijke websitelogins niet langer noodzakelijk zijn. De Openid-stichting werd in juni 2007 opgericht met als doel het identiteitsframework Openid te promoten.

Openid wordt momenteel door ongeveer tienduizend sites aangeboden. Google is in november 2007 begonnen met het testen van Openid op zijn Blogger-dienst en dat bedrijf is sinds januari Openid-provider. Microsoft werkt al sinds februari 2007 aan compatibiliteit van Openid met onder andere Cardspace. Onlangs werd bekend dat ook Yahoo de standaard gaat ondersteunen.

De verwachting is dat de partijen al hun gebruikersaccounts compatibel met Openid zullen maken. Onduidelijk is nog of de vijf het gebruik van Openid's die door derden zijn uitgegeven, op hun sites zullen toestaan, waarmee de technologiereuzen zogenoemde 'relying partners' zouden worden. Dat is minder aantrekkelijk dan zelf de Openid's uitgeven, omdat de bedrijven dan niet kunnen claimen dat ze de gebruiker 'bezitten'. Ondanks het open karakter van het identificatieframework zullen claims met betrekking tot het aantal uitgegeven Openid's zo goed als zeker als marketinginstrument worden gebruikt.

Reacties (44)

[bbr]

Een OpenID is zeker prettig, maar zou dit niet riskant zijn?
Microsoft heeft redelijke tijd een .net passport, maar weinig sites die dat gebruiken.
Blogger (van google) ondersteunt openID al enige tijd meen ik.

Je word knettergek van hoeveel passwords je moet onthouden.
Forumpje hier, tweakers, game accounts, nog een forum, blog, nog een paar forums, hyves, facebook, gamesites, dev kits, .mac account, hardware boer, en ga zo maar door.

Als je dat veilig wil doen zou je voor iedere site een aparte username en apart passwoord moeten gebruiken, maar geen mens die dat doet natuurlijk.

Ik zie er wel voordelen bij, maar nadelen.... lijkt me ook riskant.
Als je gehacked word heeft die persoon ineens access naar "al" je sites etc.
Hoe gaat OpenID beveiligt worden?

[Reactie gewijzigd door bbr op 25 juli 2024 19:08]

[kokx]

OpenID is een protocol dat met zogenaamde providers werkt. Als je als hacker dan 1 provider hebt gehacked, heb je de gebruikersnaam + wachtwoord van alle gebruikers die die provider gebruiken. En normaal gezien kies je ook een provider die behoorlijk veilig is. Anders ga je niet bepaald slim om met je OpenID.

[elmuerte]

Hoe gaat OpenID beveiligt worden?

Niet. Dat mag je zelf uitzoeken/bepalen.

[Verwijderd]

Niet helemaal. Het hele systeem valt of staat bij de veiligheid van DNS en DNS biedt geen enkele garantie. OpenID is dus inherent onveilig tenzij geldige SSL certificaten bij de communicatie tussen consumer en provider afgedwongen worden, wat niet zo is.

[Thystan]

Riskant is het sowieso al. Of je nu meerdere usernames/wachtwoorden voor sites gebruikt of niet..... Keylogger anyone?

En de beveiliging op zich... altijd te kraken!

enne, die wachtwoorden:
Je browser kan je wachtwoorden onthouden en als je dat niet wilt is pen en papier nog steeds gemeengoed.

Ik vind het internet prima zoals het nu is, jammer dat de ongeschreven regel ´if it aint broken dont fix it´ steeds meer vervaagd bij grote IT-bedrijven.

Ik weet helaas niet waarom .net te weinig wordt gebruikt. Het leek mij wel een simpel principe en handig voor de grote spelers...

[SPee]

Het .net Passport was moeilijk om te implementeren en je zat vast aan MS.

Deze OpenID is (zoals de naam al zegt) open. Je bouwt volgens de specificaties en daarna kun je zelf de provider kiezen die je wilt vertrouwen.
Wil je niemand vertrouwen behalve jezelf, dan maak je je eigen provider en zet alleen daar een trust-relatie tussen.

Maar je kunt ook andere providers toevoegen die je vertrouwd.

Ik denk dat Google en MS niet zoveel zin hebben om andere providers te ondersteunen, maar ze zullen dit waarschijnlijk wel ten dele doen. Anders is de specificatie leuk, maar niet echt een succes.

[jhellingman]

Een heel aardig aspect van openid is dat je je eigen OpenID url kunt gebruiken als je een server hebt. Op de aangegeven URL geef je dan de URL van de indentity server die je op dat moment gebruikt. Die kun je veranderen als je wilt, dus ben je niet meer van een aanbieder afhankelijk. Je compleet eigen server runnen lijkt me niet zinvol, omdat je dan allerlei sites moet overtuigen jouw certificering te gaan vertrouwen.

[tomhagen]

Je compleet eigen server runnen lijkt me niet zinvol, omdat je dan allerlei sites moet overtuigen jouw certificering te gaan vertrouwen.

Nee hoor. De kracht van OpenID is dat het _juist_ zo de-centraal is. Het maakt een die "allerlei sites" geen barst uit waar je vandaan komt of wie je OpenID provider is. Zolang jij maar kunt aantonen _dat_ je bent wie je claimt.

[Dima_2005]

Ik vraag me af hoe ze deze OpenID gaan maken, zou het zoiets zijn zoals de eID in België? Of zou het meer iets zjin als een geincrepteerd bestand op de computer. Het is wel leuk dat deze grote bedrijven het project steunen en ik wens hun echt wel het beste toe.

Het lijkt erg veel op het eID project in België, in 2005 werd er een belofte gemaakt dat er binnen het jaar zelfs mensen op MSN zouden kunnen aanmelden met een eID. Wat alweer helemaal niet gelukt is, er zijn tot nu toe nog geen nieuwe toepassingen sinds 2005 en ook geen nieuwe ontwikkelingen.

[bluppfisk]

bij eBay kun je je binnenkort identificeren mbhv de eID.

[kokx]

OpenID is een bestaand protocol om te kunnen inloggen op verschillende sites met slechts 1 gebruikersnaam/wachtwoord combinatie. Meer informatie kun je vinden op openid.org.

[Ram0n]

openid.net dus, op de .org krijg je een mooie "Coming Soon"-boodschap

[praseodymium]

eID is vooral voor authenticatie, OpenID meer voor identificatie. Authenticatie kan met een OpenID op elke methode die te verzinnen valt gebeuren; myOpenID.net ondersteunt bijvoorbeeld ook authenticatie met de eID.

[hackerhater]

Wat ik niet snap aan dat openID is hoe je nu rechten bij kan houden (user/mod/admin + groepen).

Hoe moet dat dan?
Je moet dan toch het lokaal bijhouden?

[Leftblank]

OpenID is niet bedoeld om je complete user database over te nemen maar juist om voor gebruikers één login voor 'oneindig' sites te geven. Als je deze users op je site bepaalde rechten e.d. wilt geven zul je dat alsnog moeten bijhouden op lokaal niveau, alleen dingen als 'n wachtwoord en emailadres zul je over kunnen slaan.

[purge]

Dat is ook niet nodig ;-)
In het kort is het idee van OpenID dat alleen je gebruikersnaam/wachtwoord combinatie verzorgt. Zie OpenId als een vervanger van jouw identiteit zonder rechten.
Dus in plaats van je naam/wachtwoord log je in met je openid naam. Het forum (of andere website) kan net als nu het geval is de rechten bijhouden.

Verder kan je aan je identiteit extra gegevens invullen (adres of telefoonnummers), dit is niet verplicht en je bepaald ook zelf wie welke gegevens in mag zien.

[Martinspire]

lokaal denk ik. Maar op zich is het niet zo lastig om een tabel te maken met de openid's en de rechten daarvan?

[tomhagen]

Het verschil zit 'm in authorisatie versus authenticatie.

Bij authenticatie gaat het erom dat je vast stelt met wie je te maken hebt (OpenID).
Bij authorisatie gaat het erom welke rechten de geauthenticeerde gebruiker heeft (jouw systeem).

Voor een iets grondiger uitleg, zie: http://www.duke.edu/~rob/kerberos/authvauth.html

[Muscrerior]

In Windows 8 gaan we inloggen met OpenID. Volledige integratie, desktop wordt vanaf overal gedownload. Ideaal

[brompot758]

Voor websites is dit wel nuttig, maar je moet je toch ernstig afvragen of je je autenticatie en autorisatie gegevens van je eigen machines wel buiten de deur wilt leggen Ongeacht bij welke partij je dat doet.

In het scenario dat jij schetst wordt het wel erg makkelijk voor allerlei overheidsdiensten om toegang tot jouw gegevens te krijgen. En we hebben in China gezien hoe goed die grote jongens met onze privacy om gaan.

Ja natuurlijk, niets te verbergen, maar die blootfotos van je vrouw zijn nou niet echt voor de AIVD bedoeld.

Laten we het dus maar bij websites houden.

[arjankoole]

maar je moet je toch ernstig afvragen of je je autenticatie en autorisatie gegevens van je eigen machines wel buiten de deur wilt leggen

De vraag is meer, hoe ver buiten de deur?

Je kunt namelijk ook een eigen OpenID server bouwen, en die gebruiken voor de centrale authenticatie binnen je bedrijf/organisatie. Een hoop bedrijven gebruiken hier bijvoorbeeld LDAP of AD (wat in weze ook LDAP is) voor, maar gezien de duidelijke wens van overheid en bedrijven om 'open' te gaan, zou dit wel eens een goed alternatief kunnen worden.

Uiteraard laat je de centrale authenticatie van je organisatie niet door google of microsoft doen, dergelijke informatie hebben ze niets mee te schaften (en ik denk ook niet dat ze dat zelf zouden willen)

[thegve]

LDAP is een open standaard toch, niet echt 'hip'/verkoopbaar enzo, maar vind het nog altijd een prima database voor gebruikersinformatie. LDAP databases moeten ze eens een leuke web 3.0 naam geven en opnieuw de markt op duwen, werkt best leuk en object-georienteerd. Al halen moderne relationele databases waarschijnlijk hogere snelheden.

[Verwijderd]

"LDAP databases moeten ze eens een leuke web 3.0 naam geven en opnieuw de markt op duwen"

Wat dacht je van OpenID?

[brompot758]

Natuurlijk kun je een eigen OpenID server bouwen. Voor een bedrijf is dat ook wel te doen. Maar voor thuis? Tweakers hebben vaak wel meer machines thuis, dan heeft het nog enige zin (en het is in elk geval stoer). Maar als je maar 1 PC hebt dan lijkt het me niet zo nuttig.

Mijn interpretatie van de post van Muscrerior is toch dat hij dat thuis wil gebruiken, om zijn desktop van overal te benaderen. Mja, van mij mag tie, maar ik hoef niet.

[Verwijderd]

Daarvoor zullen we eerst wa meer bandbreedte nodig hebben. Da zijn imens veel megabytes die constant gedownload worden. En dan moet da op de servers van OpenID opgeslaan worden. Niet echt realistisch, maar wel handig!

[-The_Mask-]

Nog niet erg realistisch over een paar jaar wordt alles van servers gedownload.
In de toekomst denken ze; vroeger moest je harddisk hebben van veel GB's gelukkig hebben we die niet meer nodig alles staat op centrale servers.

[kokx]

Vroeger stond ook alles op centrale servers. Dus eigenlijk gaan we weer naar een oud protocol terug, en gaan we weer terug naar de tijd waarin alles via terminal-machientjes ging. Al is het deze keer met een grafische machine.

[merethan]

Handig. Al me files netjes te indexeren.

[Verwijderd]

waarom zouden die gegevens constant gedownload moeten worden?
als je per veld (of groep) de laatste wijzigingen bijhoudt hoef je enkel de updates te downloaden, zoals het een echte synchronizer ook betaamt

[kokx]

OpenID vind ik een fantastisch initiatief, al gebruik ik het op dit moment nog niet op mijn eigen sites. Dit komt vooral omdat ik de drempel voor registratie natuurlijk zo laag mogelijk wil houden, aangezien je bij OpenID net wat meer stappen nodig hebt voor het inloggen.

Waarschijnlijk zal ik daarom binnenkort eens aan een hybride login/registratie beginnen, zodat het mogelijk is om zowel OpenID als mijn eigen login toe te staan. Aangezien het toch wel handig is voor de mensen die een OpenID hebben. En evt begin ik daarvoor ook wel mijn eigen provider, zodat al mijn huidige users ook meteen OpenID kunnen gebruiken.

[Verwijderd]

Meer stappen nodig bij OpenID?

Dit klopt niet helemaal, althans niet voor gebruikers.
Het enige wat hij/zij hoeft in te vullen is het OpenID en het wachtwoord. Alle andere gegevens worden automatisch van de OpenID-server wordt gehaald (indien aanwezig).

Uiteraard is dit geheel afhankelijk van hoe jij het inlogscript hebt gemaakt en hoe de OpenID-server is ingesteld (kan bv om bevestiging vragen, maar dit is 1x klikken extra).

Het runnen van een hybride systeem is iets wat ook zeer gemakkelijk gaat, zonder al te veel aanpassingen;

- 1 extra veld in gebruikerstabel, nml. "openid"
- aanpassing in inlogscript (2 extra velden)
- aanpassing in registratiescript (1 extra veld)
- toevoegen van OpenID script in taal naar keuze (PHP, ASP, Java, etc.)

Zelf ben ik daarintegen bezig om een eigen OpenID server te koppelen aan mijn website, zodat gebruikers automaitsch een OpenID krijgen die tevens te gebruiken is op andere websites. Het grootste nadeel is dat niet alle website op dit moment dezelfde standaard gebruiken voor het importeren en exporteren van extra data.
Dit zal wel snel komen (OpenID 2.0 heeft dit al een beetje), dus daar wacht ik eigenlijk nog op.

[kokx]

De meeste mensen hebben geen OpenID, en dan heb je net een paar stappen meer nodig om te registreren, als je alleen registraties met OpenID toe laat. Aangezien mensen ook een provider moeten zoeken e.d. Maar iig, als je wel een OpenID hebt, is het inderdaad makkelijker, en wss ga ik ook op zo'n manier als jij beschrijft een OpenID provider beginnen, maar dat moet ik nog zien.

[SPee]

Je kunt voor de laatste optie gaan en je eigen OpenID provider worden.
Dan kun je je site volledig op OpenID laten werken, terwijl de mensen toch de keuze hebben of bij jouw aan te melden of via een andere openID provider.

Wat dat betreft is het best wel interessant.

[Blaise]

Ik vind het inloggen met OpenID niet heel gebruiksvriendelijk.

Inloggen met een OpenID gaat ongeveer zo:
1. Bij het inloggen vraagt website X om je OpenID. Je vult je OpenID (bijv. tweaker.pip.verisignlabs.com) in, en je verstuurt het formulier.
2. Je belandt op de (externe) website van je OpenID provider (in dit geval Verisign Labs), waar je de vraag krijgt of je de login wilt toestaan. Als je op dat moment niet bent ingelogd bij je OpenID provider moet je hier eerst inloggen met je Verisign Labs gebruikersnaam en wachtwoord.
3. Als je de login hebt toegestaan word je teruggestuurd naar website X, waar je bent ingelogd.

Vooral dat je via een externe website wordt geleid tijdens het inloggen doet af aan de gebruiksvriendelijkheid. Dan is een simpel gebruikersnaam / wachtwoord formulier sneller en beter geïntegreerd. Een ander nadeel is dat als je OpenID provider niet beschikbaar is, je niet kan inloggen.

Ondanks deze nadelen ben ik enthousiast over OpenID, en ik zal het waarschijnlijk integreren in mijn CMS.

[masterpoi]

Net gebruiksvriendelijker, je krijgt altijd dezelfde UI. Elegant is het inderdaad wel niet.

[praseodymium]

Totdat je bv. met een certificaat gaat inloggen. Dan hoef je ineens geen wachtwoord meer in de typen en gaat het inloggen, als je al een keer eerder op een bepaalde site bent ingelogd en dus toestemming hebt gegeven, allemaal automagisch.

[Verwijderd]

Dus eigenlijk treden Microsoft en Google toe

[Verwijderd]

Voor de tweaker die liever niet zijn eigen gegevens vrij geeft aan een willekeurige OpenID provider maar zelf zijn eigen OpenID wil hosten: http://wiki.openid.net/Run_your_own_identity_server

Wellicht nog wat interessante leesvoer over fishing door middel van javascript hier (dus het sniffen van openid account logins van een kwaadwillige website die zegt OpenID te ondersteunen): http://marcoslot.net/apps/openid/ (proof of concept)

[Darude1234]

Is dit niet een beetje hetzelfde idee als wat Microsoft al tijden met .net passport probeert te bereiken? Klinkt alsof Microsoft dat dan als een mislukte poging heeft gezien.
Overigens ben ik er aan de ene kant wel voor, maar aan de andere kant zou dat op een andere manier moeten gebeuren en op veel uitgebreidere basis.

Ze zouden gewoon vanuit de staat moeten regelen dat je een id-kaart krijgt waar alle informatie aan gekoppeld kan worden, maar dan wel zodanig dat ieder bedrijf dat zich aan de kaart koppelt alleen de hoogst noodzakelijke gegevens krijgt te zien. Dat zou veel minder gezeur opleveren. Je hebt tegenwoordig ook dat digid voor de belastingdienst, dat is in feite een beetje hetzelfde. Waarom niet gewoon 1 systeem voor alle soorten betaal/spaar/loon/uitkerings -regelingen en spaarsystemen.
Ieder bedrijf kan op zich zijn eigen systeem wel gebruiken, maar koppel het gewoon aan 1 kaart, waarom moeten daar 30 verschillende kaartjes voor gemaakt worden?
En ook een bankpassen van verschillende banken moet je volgens mij makkelijk op 1 kaart kunnen opslaan. Neem als voorbeeld de OV-chipkaart, alles op 1 kaart. En ik weet dat, dat misschien niet het beste voorbeeld is omdat er zoveel gezeur over is, of het wel veilig is, maar het is wel zo'n soort systeem wat ik bedoel, 1 systeem voor alles.

En ik ben er ook van overtuigd dat als je met veel bedrijven samenwerkt, je er een goed, veilig en betrouwbaar systeem van moet kunnen maken. Er is alleen 1 iemand nodig die de eerste stap...

Ook zullen er mensen denken, ja dan weten ze straks alles van me, waar ik wat koop e.d.
Nee, niet als je met veel bedrijven die er aan meewerken, samen tot een goed betrouwbaar systeem komt en ieder bedrijf met bepaalde encryptiesleutels of wat dan ook alleen toegang laat verschaffen tot hetgeen hij of zij toegang heeft.

[tomhagen]

Is dit niet een beetje hetzelfde idee als wat Microsoft al tijden met .net passport probeert te bereiken?

Ja, maar dan de-centraal en open source. En dat spreekt kennelijk meer gebruikers/ontwikkelaars/bedrijven aan.

Ze zouden gewoon vanuit de staat moeten regelen dat je een id-kaart krijgt waar alle informatie aan gekoppeld kan worden, maar dan wel zodanig dat ieder bedrijf dat zich aan de kaart koppelt alleen de hoogst noodzakelijke gegevens krijgt te zien.

Dat is dus gewoon OpenID, maar dan door de staat geregeld. Als ik iemand _niet_ vertrouw met mijn privacy, dan is het de overheid.

Ieder bedrijf kan op zich zijn eigen systeem wel gebruiken, maar koppel het gewoon aan 1 kaart, waarom moeten daar 30 verschillende kaartjes voor gemaakt worden?

Dat is dus de gedachte achter OpenID.

[berkes]

Het grote verschil met .net passport, is dat openID juist niet centraal is. Decentraal-centraal: iedereen klan een centrale beginnen dus. Je bank, je provider, tweakers, IT afdeling van je bedrijf enzovoort.