OpenID et XMPP

• [^]Re: OpenID et XMPP

  Posté par benoar (Jabber id, ) le 02/10/2007 à 18:09. (lien). Évalué à 2.

  Houa, je ne connaissais pas, ça a l'air vraiment pas mal !
  
  Par contre, niveau sécurité, la confirmation passe par ton serveur Jabber, donc t'as intérêt à avoir confiance ... parce que on pourra hijacker la session facilement si on est un admin de serveur jabber (bon, juste le temps de la session).

  • [^]Re: OpenID et XMPP

    Posté par Omega (Jabber id, page perso, ) le 03/10/2007 à 12:01. (lien). Évalué à 1.

    Par contre, niveau sécurité, la confirmation passe par ton serveur Jabber, donc t'as intérêt à avoir confiance ... parce que on pourra hijacker la session facilement si on est un admin de serveur jabber (bon, juste le temps de la session).

    
    L'admin du serveur OpenID peut aussi se faire passer pour toi, mais là c'est sur que ça rajoute un intermédiaire qui peut se connecter à ta place à tous les endroits où tu utilises openID.

Tracking

• [^]Re: Tracking

  Posté par Jeff_ (Jabber id, ) le 02/10/2007 à 13:00. (lien). Évalué à 2.

  clair est puis

  Espérons maintenant voir les autres opérateurs emboîter le pas rapidement en ajoutant cette fonctionnalité à l'expérience utilisateur révolutionnaire.

  euh non chui pas pressé outre mesure...
  c'est pas parce qu'il y a "open" dans le nom que c'est mieux et que ça rend les gens "libres"... tiens ça me donne une idée de phrase :
  "all open thing don't make people free"... je la note...
  
  et puis ce système me fait un peu trop penser au "passeport" de MS...

  --
  "L'informatique, c'est comme le sexe : c'est mieux quand c'est gratuit" [Linus]

  • [^]Re: Tracking

    Posté par Laurent Buffler (Jabber id, ) le 02/10/2007 à 13:17. (lien). Évalué à 7.

    Le truc "open" là-dedans, c'est que ce n'est pas lié à un seul fournisseur, ni même à une autorité qui règlementerait tout ça. On est parfaitement libre d'être son propre fournisseur OpenID, il y a des scripts PHP qui permettent de se faire une identité hébergées sur son propre site en quelques minutes.

    • [^]Re: Tracking

      Posté par Jeff_ (Jabber id, ) le 02/10/2007 à 14:45. (lien). Évalué à 3.

      chuis d'accord mais comprends aussi que ça pourrait permettre de "pister" un minimum les gens : plus la peine de chercher à filtrer les spams provenant des sites où tu t'es inscrit en donnant une autre adresse email : t'auras pas le choix : ça utilisera celle de ton "openID", rien que ça : c'est pas engageant...

      --
      "L'informatique, c'est comme le sexe : c'est mieux quand c'est gratuit" [Linus]

      • [^]Re: Tracking

        Posté par Laurent Buffler (Jabber id, ) le 02/10/2007 à 14:56. (lien). Évalué à 3.

        Rien ne t'oblige à divulguer l'adresse email de ton profil OpenID aux sites auxquels tu accèdes (on n'est même pas obligé d'en mettre une)
        
        Tu pourras donc toujours utiliser des adresses jetables pour les sites qui n'inspirent pas confiance, ou utiliser des adresses uniques qui contiennent le nom du site (ça doit même être possible d'automatiser ça si on est son propre fournisseur)

        • [^]Re: Tracking

          Posté par Maxime Ritter (page perso, ) le 03/10/2007 à 05:19. (lien). Évalué à 1.

          Ce n'est pas plus difficile de faire un service d'OpenID jetables que de créer un redicteur de mail jetables (a la jetable.net).
          
          Et de toute façon, ça va faire comme les mails : le service n'étant pas bien cher à créer, on va avoir des fournisseurs gratuits d'OpenID qui n'ont pas les moyens de vérifier que Pierre Schmoll est bien le Pierre Schmoll qu'il prétends être derrière son clavier.
          
          Donc si Open ID se développe (ce qui est bien souhaitable), on va certainement aussi se retrouver à utiliser des "Open ID" jetables de la même manière que nos adresses jetables actuelles.

          • [^]Re: Tracking

            Posté par patton () le 03/10/2007 à 11:41. (lien). Évalué à 1.

            Surtout il est possible créer des URL openID presque à volonté (même chez Orange je crois qu'ils ont prévus d'en avoir plusieurs) donc facile. Par contre le risque dans le futur est de voir certain site filtrer les fournisseurs OpenID qu'ils acceptent.

          • [^]Re: Tracking

            Posté par Jeff_ (Jabber id, ) le 03/10/2007 à 11:46. (lien). Évalué à 7.

            Donc si Open ID se développe (ce qui est bien souhaitable), on va certainement aussi se retrouver à utiliser des "Open ID" jetables de la même manière que nos adresses jetables actuelles.

            
            super ! je résume:
            Avant : mails jettables
            Après : ID jettables...
            ...quelle avancée ! \o/

            --
            "L'informatique, c'est comme le sexe : c'est mieux quand c'est gratuit" [Linus]

Super !

• [^]Re: Super !

  Posté par Laurent Buffler (Jabber id, ) le 02/10/2007 à 13:34. (lien). Évalué à 4.

  Moi qui voulait justement, lorsque je rentre mon adresse et mon numéro de téléphone sur un site bien précis (genre achat en ligne), que ces infos soient partagées avec n'importe qui utilisant le même protocole, et ce sans mon consentement préalable... C'est exactement ce que je cherchais...

  
  
  Alors, plusieurs choses :
  - tu n'es pas obligé d'enregistrer quoi que ce soit dans ton profil OpenID
  - le fournisseur OpenID ne va en général pas donner ces infos sans ton consentement. En général, la première fois que tu utilises OpenID pour te connecter sur un site, tu vas voir quelles infos le site en question demande, et pouvoir choisir ce que tu veux transmettre
  - dans tous les cas, c'est complètement optionnel, et rien n'empêche d'utiliser OpenID uniquement pour l'authentification
  
  

  
  
  Et les personnes physiques dans tout ça ? Si une personne physique ne peut se proposer comme fournisseur d'identité, les spécifications ont beau être ouvertes, l'utilisation ne l'est pas...
  

  
  
  Les personnes physiques aussi peuvent être fournisseur d'identité. Comme dit plus haut, ça peut se faire simplement en installant un petit script PHP.

  • [^]Re: Super !

    Posté par Fabien Engels (page perso, ) le 02/10/2007 à 14:49. (lien). Évalué à 1.

    Je rajouterai, que tu peux avoir plusieurs profils, en tout cas myopenid.com le propose.

[+] Décentraliser pour mieux centraliser.

• [^]Re: Décentraliser pour mieux centraliser.

  Posté par Steven Le Roux (Jabber id, page perso, ) le 02/10/2007 à 22:54. (lien). Évalué à 5.

  Et entrer ses multiples password sur de multiples forum alors qu'on se trouve sur un point d'accès wifi ouvert, c'est sûr c'est sécuritaire...
  
  Alors que là on te propose d'avoir un système simple, chiffré SSL, mais tu préfères l'authentification en clair ?
  
  Pourquoi parles-tu de stocker tes pwd chez une entreprise ? Tu as mal saisi le principe : ça ne fonctionne que sur les sites implémentant OpenID, ce n'est pas comme du SSO sur une passerelle VPN à qui tu as entré les champs du formulaire et par lequel tu fais un POST pour te logguer... là je serais d'accord avec toi... mais rien de tout ça ici.

  --
  Jabber ID : Steven@jabber.fr

  • [+] [^]Re: Décentraliser pour mieux centraliser.

    Posté par Mathieu Stumpf (Jabber id, page perso, ) le 03/10/2007 à 08:20. (lien). Évalué à -3.

    Le serveur openID centralise ton authentification, donc cracker ton compte openID, c'est cracker tout tes comptes. Etpuis je doute qu'orange, puisqu'on parle de cette entreprise, se prive d'analyser ce que tu fais «pour améliorer la qualité du service».
    
    Après si tu as des services où tu t'authentifie en clair, et bah tu as pas le choix, tu t'authentifie en clair. Si ils ont un service d'authentification chiffré pour openID, je vois pas pourquoi il en aurait pas sans openID, et inversement.
    
    Tu m'excuseras mais pour moi «plus simple» c'est pas forcément synonyme de progrès.
    
    C'est du discours de marketeu de bas étage qu'on nous balance dans cette dépêche :
    - «simplification des usages du web» :et donc mieux, bien entendu, créer un compte et taper un mot de passe, c'est tellement compliqué!
    - «Un gain de temps non négligeable» : c'est sûr c'est des heures de productivité que je perd à taper des mots de passe!
    - «[inutile de] se rappeler de quel compte on dispose sur quel site» : à trop cool, vivement le jour où je n'aurais enfin plus besoin de retenir quoi que ce soit, et qu'enfin où puisse me faire l'ablation de cet organe indésirable qu'est le cerveau
    - une avancée considérable dans l'utilisation du Web : enlarge your p3nis!
    - expérience utilisateur révolutionnaire : VI4GR4!!!!!
    
    Je me marre.

    --
    Le wiki de l'association culture libre : collection d'œuvres sous licence art libre.

    • [^]Re: Décentraliser pour mieux centraliser.

      Posté par zyphos () le 03/10/2007 à 09:02. (lien). Évalué à 3.

      1. Rien ne t'oblige à utiliser l'OpenID.
      
      2. Si tu mets le même mot de passe pour tous les sites cela revient au même. C'est même nettement pire. Si un seul de ces sites a une faille, d'office on te vole tous les accès aux autres sites, ce qui est beaucoup plus probable. De plus, rien ne t'empêche d'utiliser d'autres comptes OpenID selon le type de site.
      
      3. Pour ton traçage et pubs ciblées, il te suffit de choisir un fournisseur OpenID qui s'engage à ne pas t'espionner. Pour info, tu peux monter toi même ton propre serveur OpenID.
      
      4. Non c'est clair que rentrer ton mot de passe ne te tue pas, mais en entreprise. (Oui, oui ça existe) Il est très rébarbatif de faire la même opération, alors si elle peut être automatisée (Single Sign On) pourquoi s'en priver ? D'ailleurs quand on voit le prix des solutions SSO on se doute bien que beaucoup de personnes sont interressées dans la solution, pas mal de sociétés sont spécialisées là dedans. Mais bon faut sortir de chez soit pour s'en apercervoir. Aller à des salons etc,...
      
      5. Il faut bien se dire que le site qui requiert l'authentification ne sait pas quels autres sites sont visités avant et après. Donc ici Orange ne pourra vous traquer que sur son site, mais qui ne le fait pas ? C'est déjà autre chose que Google, doubleclick, etc.. qui vous traquent en permanence et en toute transparence, il faut se dire que juste l'affichage d'une pub, d'un pixel, ou tout autre composant vous trace illico. Et ce sans vous demander quoi que ce soit.
      
      De toute façon être anonyme sur le net est une utopie. Sauf peut-être pour des gens malins, ayant une très bonne connaissance de tous les systèmes et qui prennent le temps de le faire.
      
      Le truc bien, c'est qu'avant de critiquer une technologie, on se renseigne un peu dessus. Afin d'éviter de transmettre de fausses idées aux autres...

      • [^]Re: Décentraliser pour mieux centraliser.

        Posté par Mathieu Stumpf (Jabber id, page perso, ) le 03/10/2007 à 09:18. (lien). Évalué à 2.

        
        Non c'est clair que rentrer ton mot de passe ne te tue pas, mais en entreprise. (Oui, oui ça existe) Il est très rébarbatif de faire la même opération, alors si elle peut être automatisée (Single Sign On) pourquoi s'en priver ? D'ailleurs quand on voit le prix des solutions SSO on se doute bien que beaucoup de personnes sont interressées dans la solution, pas mal de sociétés sont spécialisées là dedans. Mais bon faut sortir de chez soit pour s'en apercervoir. Aller à des salons etc,...
        

        
        J'ai moi même bossé sur de l'intégration SSO dans des applis web. Donc je suis pas le trou du cul qui est jamais sortit de chez lui...
        
        De plus tu me parles tout à coups de SSO dans une entreprise. Mais là il s'agit d'un fournisseur d'abonnement téléphonique, de la vie privé des gens. À contexte différents, problèmes différents, solutions différentes.
        
        

        
        De toute façon être anonyme sur le net est une utopie. Sauf peut-être pour des gens malins, ayant une très bonne connaissance de tous les systèmes et qui prennent le temps de le faire.
        

        
        Bah moi j'ai bonne espoir dans des solutions comme tor. Ce n'est pas encore ça, mais on en est qu'au balbutiement.
        
        

        
        Le truc bien, c'est qu'avant de critiquer une technologie, on se renseigne un peu dessus. Afin d'éviter de transmettre de fausses idées aux autres...
        

        
        Ce qui serait pas mal aussi, c'est de ne pas prendre son interlocuteur pour le dernier des crétins qui parle sans avoir aucune notion du sujet juste parcequ'il n'a pas la même opinion que soi.

        --
        Le wiki de l'association culture libre : collection d'œuvres sous licence art libre.

• [^]Re: Décentraliser pour mieux centraliser.

  Posté par Laurent Buffler (Jabber id, ) le 03/10/2007 à 07:58. (lien). Évalué à 1.

  Stocker tout ses mots de passe en clair chez une entreprise, qui plus est aussi peut recommandable qu'un fournisseur d'abonnement de téléphone portable en plus, je vois pas ce qu'on peut trouver de réjouissant la-dedans.

  
  
  Qui te dit que les mots de passe sont stockés en clair ? Par contre, un truc dont je suis sûr, c'est que la plupart des sites sur lesquels je vais ne proposent pas de SSL, donc les mots de passe sont transmis en clair. Avec OpenID, on peut forcer le SSL pour l'envoie du mot de passe, pour tous les sites. Rien que pour ça, c'est intéressant.
  
  Et si vraiment tu veux une sécurité maximale, il y a toujours la possibilité de mettre en place son propre serveur, et là, tu peux être 100% sûr que ton mot de passe n'est jamais stocké en clair (ou alors, on peut aussi d'autres méthodes d'authentification, un certificat X509 par exemple)
  
  

  
  Si vous êtes sur beaucoup de postes, etbien retenez vos mots de passe. Les 10 secondes qu'on passe à saisir un mot de passe valent largement le coup par rapport à la sécurité qu'il apporte.

  
  
  Et si on les oublie, on peut toujours demander un nouveau mot de passe, qui sera envoyé en clair par email.... Géniale la sécurité.

  • [^]Re: Décentraliser pour mieux centraliser.

    Posté par Mathieu Stumpf (Jabber id, page perso, ) le 03/10/2007 à 08:28. (lien). Évalué à 1.

    
    Qui te dit que les mots de passe sont stockés en clair ? Par contre, un truc dont je suis sûr, c'est que la plupart des sites sur lesquels je vais ne proposent pas de SSL, donc les mots de passe sont transmis en clair. Avec OpenID, on peut forcer le SSL pour l'envoie du mot de passe, pour tous les sites. Rien que pour ça, c'est intéressant.
    

    
    C'est fort ça, tu arrives à force à fournir un service qu'il ne fourni pas?
    
    Si le serveur n'a pas de certificat SSL et n'accepte pas de requète sécurisé, j'ai du mal à voir comment il va accepter ta connexion openID.
    
    Mais bon openID c'est encore mieux que la poudre verte, même pas besoin que le service auquel on se connecte inclus openID, openID peut forcer le serveur à ce reconfigurer pour qu'il utilise openID.
    
    

    
    Et si on les oublie, on peut toujours demander un nouveau mot de passe, qui sera envoyé en clair par email.... Géniale la sécurité.
    

    
    Ça dépend du service. Puis si tu arrives pas à retenir tes mots de passe, imprime les et range les dans un classeur. C'est pas ce qu'il y a de plus sécurisé, mais pour les obtenir il faudrait déjà rentrer chez toi (physiquement je veux dire).

    --
    Le wiki de l'association culture libre : collection d'œuvres sous licence art libre.

    • [^]Re: Décentraliser pour mieux centraliser.

      Posté par zyphos () le 03/10/2007 à 09:14. (lien). Évalué à 3.

      Lis la doc sur l'OpenID tu comprendras mieux. Le seul truc que tu fournis au site c'est ton login. Qui de toute façon est en clair sur presque tous les sites et qui de toute façon n'est un secret pour personne.
      
      L'authentification se fait par le site qui héberge ton OpenID qui lui possède le SSL. La communication entre le site visité et le serveur OpenID est toujours cryptée (SSL). Grâce à cette technique le site visité n'a pas besoins de certificat SSL. Il est client de ton serveur OpenID comme toi tu es clients de sites SSL et que tu ne possèdes pas non plus de certificats sur ton PC.
      
      Donc au final, si le site visité n'a pas de SSL l'OpenID renforcent grandement la procédure de login.

      • [^]Re: Décentraliser pour mieux centraliser.

        Posté par patton () le 03/10/2007 à 11:52. (lien). Évalué à 0.

        
        C'est fort ça, tu arrives à force à fournir un service qu'il ne fourni pas?
        
        Si le serveur n'a pas de certificat SSL et n'accepte pas de requète sécurisé, j'ai du mal à voir comment il va accepter ta connexion openID.
        
        
        Il vaudrait vraiment mieux que tu lises la norme avant de poster à tord et à travers car d'après tes affirmations basé sur un article de presse on peut clairement voir que tu ne l'as pas fait.
        
        Si ton IDP OpenID offre de du SSL toutes tes authents se feront en SSL et ce quelque soit le service.

      • [^]Re: Décentraliser pour mieux centraliser.

        Posté par Larry Cow () le 03/10/2007 à 13:35. (lien). Évalué à 2.

        L'authentification se fait par le site qui héberge ton OpenID qui lui possède le SSL. La communication entre le site visité et le serveur OpenID est toujours cryptée (SSL). Grâce à cette technique le site visité n'a pas besoins de certificat SSL. Il est client de ton serveur OpenID comme toi tu es clients de sites SSL et que tu ne possèdes pas non plus de certificats sur ton PC.
        
        Cela dit, si le site visité n'a pas les certificats signant ton serveur OpenID, comment peut-il être certain que c'est bien lui?

        • [^]Re: Décentraliser pour mieux centraliser.

          Posté par zyphos () le 04/10/2007 à 08:25. (lien). Évalué à 3.

          Soit le site V: site visité (orange ici)
          soit le site H: site hébergeant ton openID. (Myopenid.com par exemple)
          
          Lors de ta première visite tu créés un compte chez V, la vérification de l'authentification de H n'est pas importante à ce moment car à ce moment là, tu n'as aucune données stockées sur le site V.
          
          Lors de cette première visite, V et H conviennent d'un "secret commun" (signature). Encodée soit avec HMAC-SHA1 (clé longue de 160 bits), soit avec HMAC-SHA256 (clé longue de 256bits).
          
          Il suffit de vérifier cette signature lors de suivantes visites pour vérifier l'authenticité de H.
          
          Pour info, il y avait déjà eu une news à l'époque (2006)
          http://linuxfr.org/~mildred/22041.html (C'est grâce à elle que je me suis interressé la première fois à l'OpenID)
          
          Mais à cet époque l'OpenID était en 1.0, il me semblait qu'on parlait déjà de la version 1.1. La version 2.0 est en Draft actuellement.
          
          Pour l'histoire que quelqu'un prenne le controle de tous vos compte lors du hack du serveur OpenID choisis, sachez que la même faille existe actuellement, enfin en un peu moins grave selon les sites. Cela s'appelle le couple, "Oublié le mot de passe" et "email", si quelque prend le controle de votre email. On se retrouve dans le même cas.
          
          Un autre cas ou l'OpenID est plus sécurisé, si on vole le nom de domaine de votre email.
          En redirigeant l'email vers votre serveur, on peut grâce à l'option "J'ai oublié mon mot de passe" récupérer le tout.
          Sauf si vous avez une question secrète.
          Pour l'OpenID, c'est d'office le cas grâce au secret partagé.
          
          Un autre gros avantage de l'OpenID, c'est auto complétion des coordonnées, si vous l'autorisez bien sûr !

Linux FR

• [^]Re: Linux FR

  Posté par Gniarf () le 03/10/2007 à 17:23. (lien). Évalué à 3.

  on passe d'abord entièrement le site en XUL/Jabber. ensuite on verra.

  --
  Windows has no users. It has hostages.

• [^]Re: Linux FR

  Posté par Bruno Michel (Jabber id, page perso, ) le 04/10/2007 à 21:31. (lien). Évalué à 3.

  Quand suffisamment de monde sera intéressé par OpenID. Pour le moment, seules 10 personnes ont votés pour dans le tracker [https://linuxfr.org/tracker/457.html], et vu le boulot que ca représente, c'est nettement insuffisant.
  
  D'autres part, OpenID semble poser des problèmes. Nous attendons des réponses à [https://linuxfr.org/comments/860880.html] pour nous convaincre ;-)
  
  Vous savez ce qu'il reste à faire pour avoir OpenID sur LinuxFR.org.
  
  Ce commentaire est posté en mon nom uniquement, mais je pense qu'il est partagé par les autres admins LinuxFR.org.

  • [^]Re: Linux FR

    Posté par Aurélien Bompard (Jabber id, page perso, ) le 08/10/2007 à 09:04. (lien). Évalué à 1.

    Merci beaucoup pour ces infos !
    (c'était exactement ce que j'attendais : contrairement à ce que mon post pourrait faire penser, je n'étais pas juste en train de crier que je voulais un poney)

Décentraliser pour mieux centraliser ?

• [^]Re: Décentraliser pour mieux centraliser ?

  Posté par Aldoo (Jabber id, ) le 04/10/2007 à 09:52. (lien). Évalué à 3.

  D'ailleurs, ça serait sympa d'inventer une variante d'OpenID faite pour être installée chez soi.
  Je m'explique : je parle d'un logiciel qui "juste marcherait" : pas de serveur http à configurer, pas de ports à ouvrir sur le NAT/FW, voilà, juste un petit démon facile à installer, qui fonctionnerait en symbiose avec le porte-feuille de clés du système de bureau.
  Cela supposerait que la connexion ne soit plus initiée par le site demandant authentification, mais par le serveur d'identité (à savoir le logiciel dont je parle), donc il faudrait que le site le fasse comprendre au navigateur, et que le navigateur aille réveiller le démon.
  
  L'intérêt de cela :
  - par rapport à OpenID : pas besoin de donner sa confiance à un prestataire tiers
  - par rapport aux solutions de portefeuille de mots de passe + autocomplétion (comme dans Firefox, ou bien Konqueror+kwallet) : procédure unifiée pour l'inscription et l'authentification aux différents sites, ainsi que suppression du besoin de crééer 36 000 mots de passe (ou utiliser 36 000 fois le même), puisqu'il s'agira de secrets partagés entre les sites et le démon, générés automatiquement comme dans OpenID.
  
  Est-ce que ça existe ?

  • [^]Re: Décentraliser pour mieux centraliser ?

    Posté par Maxime Ritter (page perso, ) le 05/10/2007 à 10:44. (lien). Évalué à 1.

    Oui, c'est comme ça que je me connecte à ma banque, sauf que ça ne marche que pour ma banque :)
    
    Plus sérieusement, sous windows, pour simplifier les logins, s'en souvenir et avoir de l'autocomplétion des forms, tu pourras essayer ça : http://www.roboform.com/fr/
    
    Je n'ai pas trouvé d'équivalent libre aussi avancé.

    • [^]Re: Décentraliser pour mieux centraliser ?

      Posté par Aldoo (Jabber id, ) le 05/10/2007 à 13:33. (lien). Évalué à 2.

      Ce n'est pas seulement pour se souvenir, mais aussi pour unifier la procédure et arrêter les bidouilles bancales, avec l'espoir qu'on ait un protocole ouvert et dont la fiabilité ainsi que la sécurité auront été prouvées.

• [^]Re: Décentraliser pour mieux centraliser ?

  Posté par Pascal Terjan (Jabber id, page perso, ) le 04/10/2007 à 11:57. (lien). Évalué à 2.

  Sauf que perso je ferais pas confiance à un fournisseur d'identité inconnu.
  Me faire spammer des sites par des mecs qui se loguent en openid avec un serveur en russie ca enleve de l'interet a demander un compte...
  Donc avoir des gros fournisseurs comme ca c'est bien parce que tu peux les mettre dans une liste de domaines de confiance.

grand mère...

PTDR !!!

• [^]Re: PTDR !!!

  Posté par xylome () le 11/10/2007 à 07:30. (lien). Évalué à 1.

  http://openid.orange.fr