Microsoft поддерживает OpenID

Давно я не писал никакого FUD'а :-). Кажется даже, вообще никогда не писал... Пора! Итак, Microsoft решила поддержать OpenID.

Многие люди по этому поводу в восторге. В том числе, например, Брэд Фицпатрик (создатель OpenID) и Скотт Кветон (CEO JanRain, одной из организаций-участниц). Причем последний даже подчеркнул особо для таких людей, как я, что:

Microsoft did not cave in to the OpenID community and the OpenID community is giving nothing up to Microsoft. This is a collaboration on bringing the best technology to the marketplace as quickly as possible to help secure users and solve the single sign-on solution once and for all.

Это я понимаю. Но я обеспокоен, тем не менее. Как мы все знаем, Microsoft — это не просто крупная компания. Это еще и одиозная компания, которая одним даже своим существованием вызывает чувства от поклонения до ненависти. И то, что Microsoft делает, совершенно легко может вылиться как в совсем незаметный "пук", так и во вдруг-откуда-ни-возмись де-факто стандарт. И вот последнего-то я и боюсь. Вот цитата из объявления о совместной работе Microsoft с OpenID-сообществом:

As part of OpenID’s security architecture, OpenID will be extended to allow relying parties to explicitly request and be informed of the use of phishing-resistant credentials.

Это важно, переведу: "в части архитектуры безопасности OpenID будет расширен, чтобы позволять участникам явно запрашивать и получать ответ об использовании авторизации, устойчивой к подмене". На мой скромный взгляд это фундаментально отличается от того OpenID, который есть сейчас. И порождает целых два страха.

Страх 1: централизация OpenID

Сейчас все OpenID-провайдеры одинаковы. Вы можете зарегистрироваться на каком-нибудь GetOpenID, а можете поставить себе в блог плагин и использовать его в качестве своей OpenID-подписи. Для сайта, на котором вы авторизуетесь, это совершенно равнозначные OpenID. А вот доверять ли тому или иному OpenID-провайдеру или нет — уже личное дело сайта. Если с сайта "http://spamers-nest-open-id.net" к вам идут толпы спама, вы вольны забанить этот сайт. Или вольны вести "белый список", где все сайты считаются недоверенными, пока вы не решите, что они не являются спаморассадником. Саймон Виллисон, например, уже предложил обмениваться такими "белыми списками". Звучит здраво.

Так вот фундаментальное отличие нового предложения в том, что у сайта появляется возможность автоматически спросить кого-то о том, является ли какой-то конкретный сайт "устойчивым к подмене", можно ли ему доверять. Главный вопрос: кто будет контролировать список? Надо ли мне будет теперь не только повесить на сайт OpenID-сервер, но и идти куда-то официально регистрировать его? Очень я этого боюсь. Технология OpenID отличается (отличалась?) от предыдущих попыток сделать подобное (Microsoft Passport, TypeKey) как раз тем, что в ней нет никакой единой регистрационной базы, которую контролирует коммерческая компания.

Страх 2. Толпа фанатиков

Ладно, пусть я верю, что OpenID'шные дядьки не дадут внести в спецификацию адрес кошелька, куда надо нести деньги за регистрацию. Я боюсь еще и того, что если это не случится со стороны спецификации, это может случиться со стороны тех веб-девелоперов, которые, питая к Microsoft нездоровую часть спектра положительных эмоций, начнут сами различать в своих сервисах OpenID-провайдеров по принципу:

• пользуется Microsoft CardSpace, значит с ним наверное не будет проблем, будем его пускать...
• не пользуется Microsoft CardSpace! пошел вон, гадкий опенсурсный халявщик!

Я, к сожалению, слишком часто видел этот паттерн, чтобы его игнорировать :-(. Но я признаю, что это пока только мои домыслы, и я буду очень рад, если кто-то мне объяснит, что это просто утренняя паранойя.

Хотя, выражаясь словами Сесилии, "It's not paranoia if you're always right".