Cookies op Tweakers

Tweakers maakt gebruik van cookies, onder andere om de website te analyseren, het gebruiksgemak te vergroten en advertenties te tonen. Door gebruik te maken van deze website, of door op 'Ga verder' te klikken, geef je toestemming voor het gebruik van cookies. Wil je meer informatie over cookies en hoe ze worden gebruikt, bekijk dan ons cookiebeleid.

Meer informatie

Mozilla geeft bèta-status aan single sign-on-systeem Persona

Door , 43 reacties

Mozilla heeft Persona, een authenticatiemechanisme dat het eenvoudig moet maken om in te loggen op een website, de bètastatus gegeven. In tegenstelling tot OpenID en Facebook Connect zou Persona de privacy beter beschermen.

Met Persona, voorheen bekend als BrowserID, volstaat het aanmelden op een website met een e-mailadres en wachtwoord. Daarbij vraagt de website die de dienst ondersteunt aan een authenticatieserver van Mozilla om de inloggegevens. Met deze single sign-on, die in alle browsers zou werken door middel van een pop-up-venster, hoeft de internetgebruiker niet langer voor elke website die het protocol ondersteunt een account aan te maken.

Volgens Mozilla is Persona, dat als opensource beschikbaar is, privacyvriendelijker dan soortgelijke diensten als Facebook Connect en OpenID, omdat het geen gegevens verstrekt aan derden. Bovendien weet Mozilla, dat authenticatieservers beheert, niet welke sites een gebruiker bezoekt, evenmin als andere authenticatieproviders. Verder zou een Persona-gebruiker nauwgezet kunnen bepalen welke informatie in zijn profiel is te vinden.

Mozilla meent ook dat Persona relatief makkelijk is te integreren in websites. Zo zouden slechts enkele regels javascript nodig zijn om Persona aan te roepen en er zijn extensies beschikbaar voor diverse cms-pakketten, waaronder Drupal en Serendipity. Mozilla hoopt dat browserbouwers op termijn ondersteuning voor het framework standaard gaan integreren.

Door Dimitri Reijerman

Redacteur

27-09-2012 • 18:30

43 Linkedin Google+

Reacties (43)

Wijzig sortering
Ik zal het allemaal wel weer te snel gelezen hebben op de iPhone. ;) Ik wilde dus alleen reageren op :
Mijn eisen: 1 ID per persoon, absoluut veilig voor de gebruiker.
En in mijn ogen is dat eerste niet te doen op het internet. Je kunt wel eisen dat je moet betalen per account en dat een id (e-mail) adres gekoppeld moet zijn aan bijv. een credit card. Dat laatste doe je binnen je eigen site/applicatie.

Trouwens het zou zelfs zo kunnen zijn dat Idp's er voor zouden kunnen zorgen dat het e-mail adres aan 1 persoon gekoppeld is. Nu nog te vroeg hoe de Idp's eruit gaan zien. Maar in theorie zou DigiD 8)7 zich kunnen opwerpen als een Idp voor Nederlandse sites.
Het gaat mij in eerste instantie eigenlijk helemaal niet om iemands ID.
Dat is iets secundairs wat een sleutel zou kunnen zijn tot: 1 persoon per 1 "account".

Ik ben op zoek naar een systeem waarbij iedereen maximaal 1 "account" heeft waaronder hij / zij een enquete over kwaliteit kan invullen.

Wanneer personen meerdere keren dezelfde enquete zouden invullen geeft dat een vertekend beeld. Zie het als stemmen*, een mooi recht maar wel iedereen 1 keer.
*Stemmen doe je ook anoniem ondanks dat dit alleen op ID mogelijk is.

N.B. ik wil hier geen geld mee verdienen, het is iets ideologisch wat hopelijk gratis blijft.
Persona garandeert niet één account per persoon. Het garandeert wel een echt e-mail adres. De beste manier om aan jouw eisen te voldoen zou het gebruik iets als DigID zijn, maar ik denk niet dat je daar zomaar gebruik van mag maken.
1 ID per persoon is ommogelijk, hoe kun je voorkomen dat mensen uberhaubt andere IDs maken ?
Dank voor je uitleg.

Het zwakke punt hierin lijkt me dus de browser. Dit is leuk voor situaties waarin je je browserinstallatie kan vertrouwen, maar wat gebeurt er als ik in een internetcafe zit? Gaat die browser daar dan proberen om mijn "persona" te beheren? :?
De computer waar je op werkt zal natuurlijk altijd het grootste risico zijn. Ik denk dat je wat Persona betreft je beter druk kan maken om keyloggers dan om een aangepaste browser (je typt immers nog steeds een wachtwoord in).

Je browser krijgt cryptografische gegevens van je IdP om je gebruik te laten maken van je persona, deze cryptografische gegevens kunnen natuurlijk langer bewaard blijven dan de bedoeling is. Hier is waarschijnlijk wel veel geknoei voor nodig, waarmee je niet eens veel bereikt. Het loggen van een wachtwoord van je Persona is dan veel interessanter.

Het lijkt mij niet ongevaarlijker om in een internetcafé je Persona te gebruiken dan het zou zijn als je handmatig alle gebruikersnamen en wachtwoorden intypt op elke website. Maar je hebt (met mijn huidige kennis van Persona) wel een punt.
Gelukkig hebben ze goed na gedacht over de naamgeving.... Personas het personalisatie frameworrk om je browser te pimpen.
Ik denk dat de originele Personas nooit zo'n hele goede naam was.

Dat project is dan ook hernoemt:

"In case you’re curious, out of more than 1,000 responses to our naming poll, “themes” came in second place with 22% of the votes behind “skins” with 41% of the votes. We considered “skins”, but it drew many negative reactions and associations, and we ultimately felt it’s less confusing to users if we unify all of our themes under a single name."
"Ik verwacht niet dat deze dienst aanslaat."

Dat zou ik niet willen zeggen, de implementatie in websites is super simpel.

Het originele doel in 2009, oid. van Mozilla was om het in de browser interface in te bouwen.

Het javascriptje wordt dan alleen gebruikt in browsers die ondersteuning niet hebben ingebakken.

Dat maakt het voor de gebruiker ook heel simpel te gebruiken.

Hier wat ideeen:www.flickr.com/photos/azaraskin/4128966575/sizes/l/
https://wiki.mozilla.org/images/a/a8/PersonalIdentity.png

mockup/demo met klikbare afbeeldingen:

http://people.mozilla.com...firefoxAccount/index.html
Interessante opmerking!
Ik denk inderdaad dat dit soort systemen juist ook als API voor integratie in apps beschikbaar moeten komen. Mobiel wordt een steeds belangrijker platform, en apps zijn heer en meester in de mobiele wereld. Op een prettige manier inloggen op services via apps is nog steeds een beetje onontgonnen terrein...
Normalisatie ? Je bedoelt een standaard ? Er is een IETF WG die met BrowserID/Persona bezig is.

Nou, ja een deel van het BrowserID protocol dan:

http://datatracker.ietf.org/wg/jose/charter/
Ik weet niet of ik hier erg blij mee moet worden.
Voor mij persoonlijk is het makkelijk, maar ....

Hoe gaan ze spamproblemen oplossen?
Op deze wijze wordt drive-by spamming toch wel enorm makkelijk. Op de "oude wijze" (inlog maken, wachten op mailtje, linkje klikken, terug naar de site) heb je daar al veel last van, maar nu zouden ze dus direct kunnen posten.
Dit is niet "onveiliger" dan met het mail linkje. De bedoeling is alleen dat je niet meer op het mailtje moet wachten.

Of je email provider ondersteunt het al en je moet inloggen met het wachtwoord van je mail
Of je moet de dienst van Mozilla gebruiken en je moet eenmalig op een linkje klikken
Klinkt goed, Mozilla is een van de weinige bedrijven die ik met zo'n service zou vertrouwen, mits het ook echt zo privacy-veilig gebouwd is als ze zeggen.
Als je het niet vertrouwd kun je altijd nog naar de source kijken en/of je eigen servers opzetten:

https://github.com/mozilla/

Op dit item kan niet meer gereageerd worden.


Apple iPhone X Google Pixel 2 XL LG W7 Samsung Galaxy S8 Google Pixel 2 Sony Bravia A1 OLED Microsoft Xbox One X Apple iPhone 8

© 1998 - 2017 de Persgroep Online Services B.V. Tweakers vormt samen met o.a. Autotrack en Hardware.Info de Persgroep Online Services B.V. Hosting door True

*