[OpenID/PHP] Beveiliging

[Verwijderd]

Af en toe vind ik het leuk om eens te hobbyen en een nieuw projectje te beginnen. Laatst heb ik eens besloten om OpenID eens uit te pluizen. Op zich allemaal geen probleem, de consumer had ik vrij snel werkend alleen blijft er de hele tijd een vraag in mijn hoofd hangen waar ik nog geen antwoord op heb kunnen vinden ondanks dat ik al redelijk wat documentatie heb doorgelezen (misschien de verkeerde documentatie?).

Ik zie waarschijnlijk iets belangrijks over het hoofd want de beveiliging is mij niet helemaal duidelijk. Met het openID account van hyves (gewoon om te testen) log ik keurig netjes in als admin op mijn eigen website. Omdat ik nieuwsgierig was heb ik eens een 2e hyves account gemaakt met dezelfde voor en achternaam en helaas kan ik hier ook gewoon mee inloggen, niet echt de bedoeling want zo kan iedereen dus inloggen als admin op mijn website.

Ik heb het gevoel dat ik iets heel simpels over het hoofd zie want ik kan me niet voorstellen dat dit zo hoort. Kan ik een openid bij het inloggen niet identificeren op iets unieks?

[Cartman!]

Je krijgt je "identity" terug van de provider, in jouw geval is dat zoiets als "http://schrauben.hyves.nl/#bla". Dat is het unieke ID waar jij jouw account mee moet matchen.

[Verwijderd]

Dat is wat ik zocht, ik had al zo'n vermoeden dat het zoiets simpels zou zijn. Thanks, ik ga weer even verder knutselen.

[Niemand_Anders]

Ik vermoed zelfs dat iedereen kan inloggen op jouw admin gedeelte. OpenID is slechts een identificatie (authenticatie), niet een beveiliging.Als ik jouw mij rijbewijs laat zien weet je inderdaad dat mijn naam klopt (dat is wat OpenID simpel gezegd bied), maar het geeft niet aan of ik ook lid ben van jouw club..

Als iemand met succes zich heeft aangemeld bij een OpenID provider, dan kun jij openid.identity uit lezen..

[Verwijderd]

Hij haalt nu de naam van het OpenID account op en kijkt of deze aanwezig is in de database maar een naam is natuurlijk geen beveiliging dus in principe kan iedereen nu inloggen ja. Het staat gelukkig nog niet online.

Wel een mooi systeem dat OpenID, als de consumer goed werkt ga ik eens een eigen OpenID server op zetten, lijkt me ook wel interessant.

[ Voor 22% gewijzigd door Verwijderd op 19-01-2012 10:12 ]

[Janoz]

Verwijderd schreef op donderdag 19 januari 2012 @ 10:10:
Hij haalt nu de naam van het OpenID account op en kijkt of deze aanwezig is in de database maar een naam is natuurlijk geen beveiliging dus in principe kan iedereen nu inloggen ja. Het staat gelukkig nog niet online.

Dit volg ik even niet, maar dat kan ook komen omdat ik de eerste zin niet helemaal begrijp. Hyves verteld jou dat de gebruiker die net ingelogd heeft pietje is. Wanneer jij de externe aanbieder vertrouwt kun je die naam ook vertrouwen. Als die persoon vervolgens toegang krijgt omdat die naam in je eigen lijstje van admins voorkomt dan kun je wel degelijk van een beveiliging spreken, (mits mensen natuurlijk geen toegang krijgen als ze niet in je lijst voorkomen).

[Cartman!]

Ik vraag me nog een beetje af welk veld je eerste gebruikte dat iedereen kon inloggen.

[RobIII]

Cartman! schreef op donderdag 19 januari 2012 @ 10:37:
Ik vraag me nog een beetje af welk veld je eerste gebruikte dat iedereen kon inloggen.

Ik denk eerder dat 'ie überhaupt niet naar een veld keek; "er is ingelogd, want openid zegt dat 't goed is" et voila.

[Verwijderd]

RobIII schreef op donderdag 19 januari 2012 @ 11:30:
[...]

Ik denk eerder dat 'ie überhaupt niet naar een veld keek; "er is ingelogd, want openid zegt dat 't goed is" et voila.

Ik schreef hierboven dat ik eerst het veld met de naam vergeleek met de namen in de database.

Heb het inmiddels gefixed.

[Cartman!]

Maar welk veld is bij jou dan "naam"? Zover ik weet is er geen veld die de naam van iemand meegeeft tenzij je AX of SREG gebruikt maar dat zijn slechts extensies op OpenID die niks met het deel van authenticatie te maken hebben.

[Verwijderd]

Het veld 'fullname' met SREG. Maar dat was idd niet de juiste manier voor authenticatie.