OpenID Authentication 2.0 / OpenID Аутентификация 2.0: 15.4. HTTP and HTTPS URL Identifiers

Эти типы Идентификаторов(Identifier) рассматривались ранее, они снова заслуживают упоминания. Как говорилось, когда Конечный Пользователь(End User) объявляет контроль над URL различающихся только по схеме, РЕКОМЕНДУЕТСЯ установить перенаправление с HTTP URL на HTTPS URL. Зависимая стороно никогда не будит сохранять HTTP URL так как после фазы получения информации и инициализации, следует перенаправление и использовать HTTPS URL как Заявленый Идентификатор(Claimed Identifier).

Reyko32 25.06.12 в 03:10

Конечному пользователю, обеспокоенного по поводу этой рекомендации, следует напрямую вводить свой HTTPS URL для каждой Зависимой стороны. Это, таким образом, устраняет этап, перенаправления Зависимой стороны на HTTPS URL. Единственное обсуждение безопасности виденное в настоящее время это если злоумышленник пойдет на компромисс целостности HTTP URL, подменив перенаправление на идентификатор мошеннической OP. Это как всегда будет изменять опыт пользователя, обнаруженными антифишинговыми технологиями и безопасностью самого идентификатора - это фундаментальные принципы и без OpenID

Reyko32 18.09.12 в 10:41