Perquè no utilitzo OpenID
2008.09.28 escrit per Pere Quintana Seguí
OpenID és una tecnologia que pretén simplificar el problema de la gestió de contrassenyes i identitats a internet.
La tecnologia funciona de la següent manera:
- Qui vulgui pot esdevenir proveïdor d’identitat (cal saber configurar un servidor per a realitzar aquesta tasca).
- L’usuari crea una identitat amb un proveïdor amb el qual tingui confiança.
- Empra aquesta única identitat per a donar-se d’alta en els serveis d’internet que empra. La mateixa per a tots.
En principi, la idea sembla atractiva, però des del punt de vista de la seguretat no m’ho sembla gaire. OpenID et fa molt vulnerable. Si només tens una clau per a obrir-ho tot, el dia que aquesta es vegi compromesa, l’atacant tindrà accés a tot el que aquesta clau pot obrir. Així, si hi a un problema de seguretat en el teu servidor d’identitat, els atacants tindran accés a tota la teva informació personal. Cal recordar que, en informàtica, la pregunta no és si hi haurà problemes de seguretat, la pregunta és quan aquests problemes es manifestaran.
L’alternativa que em sembla més raonable és emprar una contrasenya diferent per a cada servei. Millor si la contrasenya és generada aleatòriament i és llarga. Aquesta via és, de molt, la millor. Sobretot, si tenim en compte que els navegadors et permeten desar les contrasenyes de manera xifrada (amb una clau mestra). En aquest cas, si algú té accés a una de les teves contrasenyes, només tindrà accés a un servei en qüestió.
L’inconvenient d’aquest mètode és que si canviem d’ordinador, no recordarem les contrassenyes. Però això és senzill de resoldre, per exemple, aputant les contrassenyes en un fitxer xifrat en una clau USB. Per això podem emprar, per exemple, TrueCrypt, que és senzill d’emprar i és multiplataforma. Però la cosa serà més fàcil quan surti Mozilla Weave, que ens permetrà sincronitzar tota la informació del nostre navegador Firefox, des de qualsevol navegador de manera segura.
Actualització: A la meva anàlisi (d’estar per casa) he oblidat quelcom: Encara que s’emprin moltes contrasenyes, solem identificar-nos sempre amb la mateixa adreça de correu. I tots els serveis web que requereixen autenticació tenen un sistema de recuperació de la contrasenya via correu-e. És més, n’hi ha que empren “preguntes secretes”, com a mètode de recuperació de la contrassenya, que no són gens segures, com ha mostrat el cas de Sarah Palin. Ja que les dades que es solen demanar, es poden trobar a la pròpia xarxa. Així doncs, per moltes contrassenyes que emprem, la nostra seguretat depèn molt fortament del compte de correu, així estem en una situació molt similar a la d’OpenID. Francament, la situació em preocupa.
