OpenID安全性，對此的任何更改

這是關於OpenID安全性的段落，來自Wikipedia。有沒有關於這個新的更新或任何評論？OpenID安全性，對此的任何更改

安全和網絡釣魚

一些觀察家認爲， OpenID的有安全弱點，可能證明容易受到釣魚攻擊 [26] [27] [28]例如，惡意依賴方可以將最終用戶轉發給虛假標識提供者認證頁面，要求最終用戶輸入他們的憑證。在此完成，惡意黨（誰在這種情況下也控制了假身份驗證頁）然後可以有身份提供商訪問最終用戶的帳戶，因此然後使用最終用戶的OpenID登錄到其他服務。

在打擊可能釣魚攻擊的最終用戶需要到嘗試與依賴方認證身份驗證之前與他們一些OpenID提供任務的嘗試。[29]這取決於最終用戶知道身份提供者的政策。 2008年12月， OpenID基金會批准的供應商驗證的策略擴展（PAPE），其中「使依賴方請求供應商僱用指定認證政策時認證用戶和OpenID的商通知該OpenID的版本 1.0 Relying 締約方哪些政策實際上使用了「。[30]無論如何，此問題仍然是中間人釣魚攻擊攻擊的一個重要附加矢量。

用確定的其他安全問題OpenID涉及缺乏隱私和未能解決信任問題。

來源

2011-05-29 sameold

網絡釣魚是社會工程。有些人沒有看到明顯的跡象，防止它（URL不在提供商的域名，沒有/可疑的SSL證書等）。我懷疑這會在一生中改變。 – netcoder 2011-05-29 05:59:03

該釣魚攻擊依然成立。如果我（作爲釣魚者）設置了一個頁面，我可以鏈接到我自制的（複製的）Google登錄頁面，並聲稱它是真實的。我甚至不需要實現OpenID，我只需就可以說我就是這樣做的。

所以，這次攻擊仍然是非常有可能的。解決方案是教育計算機用戶：他們應該檢查域名，確保登錄頁面使用SSL並且SSL證書適用於正確的域名。

來源

2011-05-29 07:56:47

所以我會更安全地實現正常的登錄我猜。你同意嗎？ – sameold 2011-05-30 18:58:39

編號正常登錄頁面同樣易受網絡釣魚攻擊。當使用正常的登錄頁面時，您還需要爲用戶的憑證（尤其是密碼）負責，而您在使用OpenID時不能使用這些憑證。唯一可以用普通登錄頁面更安全的是，如果用戶對不同的站點有不同的密碼。在這種情況下，如果您的網站遭到入侵，則密碼仍無法竊取其他帳戶。但是，大多數用戶對不同的站點使用相同的密碼，因此釣魚攻擊的價值與使用OpenID的情況相同。 – 2011-05-31 05:41:59

OpenID安全性，對此的任何更改

回答

相關問題