LXF154:BrowserID

Подписка на печатную версию Весь 2015 год (12 номеров) Первое полугодие (6 номеров) Второе полугодие (6 номеров)

Подписка на электронную версию Весь 2015 год (12 номеров) Первое полугодие (6 номеров) Второе полугодие (6 номеров)

Подшивки старых номеров журнала (печатные версии) Весь 2014 год (12 номеров) Первое полугодие (6 номеров) Второе полугодие (6 номеров)

Browser ID? Что за штука…

«BrowserID никак не ог­раничи­ва­ет вас в на­строй­ке ва­шей учет­ной за­пи­си.»

В Что же за шту­ка — BrowserID?

BrowserID (https://browserid.org/) — ме­тод, пред­став­лен­ный в ию­ле 2011, ко­то­рый по­зво­ля­ет ис­поль­зо­вать ад­ре­са элек­трон­ной поч­ты для иден­ти­фи­ка­ции и ре­ги­ст­ра­ции на сай­тах.

В Так у нас это уже есть: сайт про­сит вве­сти элек­трон­ный ад­рес, а за­тем от­прав­ля­ет со­об­щение с под­твер­ждением.

О Ан нет, с BrowserID все бу­дет гораздо про­ще и бы­ст­рее.

В Что вы имее­те в ви­ду? Как это бу­дет ра­бо­тать на прак­ти­ке?

О Что­бы за­ре­ги­ст­ри­ро­вать­ся на сай­те, под­дер­жи­ваю­щем BrowserID, нуж­но бу­дет все­го лишь щелк­нуть по кноп­ке Ре­ги­ст­ра­ция, а за­тем вы­брать в ме­ню же­лае­мый ад­рес. Об осталь­ном по­за­бо­тят­ся ваш брау­зер и сам сайт.

В А как на­счет вхо­да че­рез Facebook, Twitter и Google? Это ведь и то­го про­ще, не так ли?

О Да, ес­ли вы про­смат­ри­вае­те страницы, вой­дя на лю­бой из этих пор­та­лов, ниче­го де­лать во­об­ще не при­дет­ся: лю­бой свя­зан­ный с ними сайт немед­лен­но вас иден­ти­фи­ци­ру­ет. В том-то и бе­да. Вру­чение за­дач та­ко­го ро­да ги­гант­ским ча­ст­ным про­вай­де­рам вле­чет ку­чу при­вя­зок, плюс про­блем, свя­зан­ных с за­щи­той ин­фор­ма­ции.

В Ну да, но по­до­ж­ди­те! Раз­ве OpenID не обес­пе­чи­вал (бо­лее-менее) те же ну­ж­ды?

О Так и есть. Но во­об­ще-то по­хо­же, что OpenID не оп­рав­дал ожи­даний, по несколь­ким при­чи­нам. Глав­ная из них, по­жа­луй, та, что для по­лу­чения досту­па к же­лае­мо­му сай­ту при­хо­ди­лось, пусть и нена­дол­го, спер­ва об­ра­щать­ся к дру­го­му. Для тех, кто по-на­стоя­ще­му не осоз­нал важ­ность на­деж­ной он­лайн-ау­тен­ти­фи­ка­ции (и не за­бо­тит­ся об этом), го­раз­до менее тру­до­ем­ким бы­ло про­сто по­про­сить свой брау­зер за­по­ми­нать все па­ро­ли, или щелк­нуть по кноп­ке За­помнить Ме­ня, ко­то­рая есть поч­ти в лю­бой фор­ме ре­ги­ст­ра­ции. BrоwserID пы­та­ет­ся обес­пе­чить тот же уро­вень безо­пас­но­сти и на­деж­но­сти, что и OpenID, но го­раз­до бо­лее про­зрач­ным спо­со­бом.

В По­жа­луй­ста, рас­ска­жи­те о за­щи­те ин­фор­ма­ции в BrowserID по­боль­ше.

О Пре­ж­де все­го, в от­ли­чие от дру­гих сис­тем ре­ги­ст­ра­ции, BrowserID не при­ну­ж­да­ет поль­зо­ва­те­ля рас­кры­вать или пе­ре­да­вать в сеть лич­ную, кон­фи­ден­ци­аль­ную ин­фор­ма­цию, та­кую как да­та ро­ж­дения. Кро­ме то­го, BrowserID не ябе­днича­ет сер­ве­рам про сай­ты, ко­то­рые вы по­се­щае­те.

В А по­че­му BrowserID осно­ван на элек­трон­ных ад­ре­сах?

О Во-пер­вых, по­то­му что лю­бой ре­гу­ляр­ный по­се­ти­тель Ин­тернета име­ет по крайней ме­ре один поч­то­вый ящик, а так­же и пред­став­ление о том, что это уже сред­ст­во иден­ти­фи­ка­ции и ав­то­ри­за­ции. Во-вто­рых, по­то­му что элек­трон­ные ад­ре­са не кон­тро­ли­ру­ют­ся ника­кой ор­ганиза­ци­ей, ни по фак­ту, ни по­тен­ци­аль­но. И, на­конец, по­то­му, что прак­ти­че­­ски все сай­ты, тре­бую­щие ав­то­ри­за­ции, уже со­дер­жат эту ин­фор­ма­цию для непо­сред­ст­вен­но­го взаи­мо­дей­ст­вия с поль­зо­ва­те­ля­ми, из­менения па­ро­ля и дру­гих сер­ви­сов: BrowserID лишь уп­ро­ща­ет им ра­бо­ту с уже го­то­вы­ми дан­ны­ми.

В За­пре­тит ли мне BrowserID поль­зо­вать­ся мои­ми лю­би­мы­ми ника­ми на этих сай­тах?

О Отнюдь нет. Элек­трон­ный ад­рес ис­поль­зу­ет­ся толь­ко для пер­вич­ной ау­тен­ти­фи­ка­ции. Ис­поль­зо­вание BrowserID никоим образом не ог­ра­ничи­ва­ет вас в на­строй­ке ва­шей учет­ной за­пи­си на лю­бом сай­те.

В Мож­но ли, в та­ком слу­чае, иметь несколь­ко BrowserID?

О Конеч­но. Един­ст­вен­ное усло­вие в том, что­бы ка­ж­дый был при­вя­зан к от­дель­но­му ящи­ку.

В А что с дру­ги­ми при­ло­жения­ми, ти­па чат-клие­тов? Мо­гу ли я ис­поль­зо­вать с ними BrowserID, или это ра­бо­та­ет толь­ко в брау­зе­ре?

О Да, мо­же­те, ес­ли эти про­грам­мы реа­ли­зу­ют про­то­кол и снаб­жа­ют поль­зо­ва­те­ля ин­тер­фей­сом для под­клю­чения к их про­вай­де­ру, что­бы по­лу­чить клю­чи. По­следние за­тем мо­гут хранить­ся в KWallet или лю­бом дру­гом на­столь­ном храните­ле па­ро­лей.

В Про­сти­те, ка­кой про­то­кол, ка­кие клю­чи? BrowserID осно­ван на ка­кой-то про­прие­тар­ной тех­но­ло­гии?

О Нет. Го­во­ря на тех­ноя­зе, BrowserID – это при­ло­жение Verified Email Protocol, де­цен­тра­ли­зо­ван­ной сис­те­мы ау­тен­ти­фи­ка­ции, ис­поль­зую­щей крип­то­гра­фию с от­кры­тым/за­кры­тым клю­чом, по­сред­ст­вом ко­то­рой поль­зо­ва­тель мо­жет до­ка­зать сай­ту, что он – вла­де­лец это­го элек­трон­но­го ад­ре­са.

В BrowserID ра­бо­та­ет во всех брау­зе­рах?

О Он мо­жет ра­бо­тать на лю­бом со­вре­мен­ном брау­зе­ре, вклю­чая мо­биль­ные. Един­ст­вен­ное тре­бо­вание – со­вмес­ти­мость с API JavaScript. К сло­ву, ес­ли ваш брау­зер его все-та­ки не под­дер­жи­ва­ет, мож­но восполь­зо­вать­ся ана­ло­гич­ным web-сер­ви­сом.

В С че­го на­чать, ес­ли я хо­чу ис­поль­зо­вать BrowserID?

О Вы долж­ны за­ре­ги­ст­ри­ро­вать­ся тра­ди­ци­он­ным спо­со­бом на сай­те сво­его про­вай­де­ра иден­ти­фи­ка­ции. Этот сер­вер за­тем ве­лит ва­ше­му брау­зе­ру, че­рез API JavaScript, сгенери­ро­вать па­ру от­кры­тых/за­кры­тых крип­то­гра­фи­че­­ских клю­чей. По­сле это­го брау­зер от­пра­вит от­кры­тый ключ про­вай­де­ру и по­лу­чит под­пи­сан­ный сер­ти­фи­кат под­лин­но­сти. За­тем сек­рет­ный ключ и дан­ные ве­ри­фи­ка­ции будут хра­нить­ся в брау­зе­ре, как обыч­ные па­ро­ли.

В А что про­изой­дет по­том, когда я зай­ду на BrowserID-со­вмес­ти­мый сайт?

О Этот сайт инструктирует ва­ш брау­зе­р, чтобы тот за­пустил функ­цию JavaScript, ко­то­рая спро­сит вас, хо­ти­те ли вы вой­ти, и под ка­ким ID – то есть элек­трон­ным ад­ре­сом.

В И ес­ли я дам со­гла­сие...

О Брау­зер от­пра­вит на сайт под­твер­ждение, под­пи­сан­ное за­кры­тым клю­чом. Да­лее, сайт по­лу­чит ваш от­кры­тый ключ от про­вай­де­ра и ве­ри­фи­ци­ру­ет подпись.

В И так я до­ка­жу это­му сай­ту, что я — дей­ст­ви­тель­но я?

О И да... и нет. Эта про­це­ду­ра пред­став­ля­ет со­бой под­твер­ждение треть­ей сто­ро­ны (в от­ли­чие от то­го, что реа­ли­зу­ет­ся с cookie!), о том, что за­прос на ау­тен­ти­фи­ка­цию от­прав­ля­ет­ся брау­зе­ром, имею­щим сек­рет­ный ключ, свя­зан­ный с элек­трон­ным ад­ре­сом. А это зна­чит...

В Что я никогда не дол­жен да­вать дру­гим поль­зо­вать­ся мо­им брау­зе­ром!

О Аб­со­лют­но вер­но. Од­на­ко риск тот же, что и с лю­бой дру­гой сис­те­мой ау­тен­ти­фи­ка­ции, не тре­бую­щей ка­ж­дый раз вво­дить па­роль, не так ли?

В Ду­маю, что да, но ведь это так­же зна­чит, что я не прой­ду ау­тен­ти­фи­ка­цию с дру­гих брау­зе­ров, пра­виль­но?

О Варианты возможны разные. Здесь все за­ви­сит от вас. Сам по се­бе, BrowserID по­зво­ля­ет завести по сер­ти­фи­ка­ту на ка­ж­дый ком­пь­ю­тер или смарт­фон, ко­то­рый вы ис­поль­зуе­те, вклю­чая вре­мен­ные и предоставленные в пуб­лич­ный доступ, та­кие как в ин­тернет-ка­фе. Ес­те­ст­вен­но, в по­доб­ных слу­ча­ях по за­вер­шении ра­бо­ты сле­ду­ет немед­лен­но уда­лить за­кры­тый ключ и сер­ти­фи­кат!

В Вернем­ся к про­вай­де­рам иден­ти­фи­ка­ции. Вы все вре­мя о них упо­ми­нае­те, а кто это?

О По са­мо­му про­сто­му и ес­те­ст­вен­но­му сце­на­рию, про­вай­де­ром иден­ти­фи­ка­ции ва­ше­го BrowserID бу­дет про­вай­дер элек­трон­ной поч­ты.

В А ес­ли он не под­дер­жи­ва­ет эту сис­те­му?

О Мож­но без про­блем ис­поль­зо­вать дру­гой на­деж­ный про­вай­дер иден­ти­фи­ка­ции, пред­ла­гаю­щий те же услу­ги. Mozilla Foundation, на­при­мер, как раз для таких це­лей осно­ва­ла сайт BrowserID.org, что­бы уско­рить тес­ти­ро­вание и при­менение BrowserID.

В Кста­ти о при­менении. В ка­ком нын­че ста­ту­се BrowserID? Им уже кто-то поль­зу­ет­ся?

О На мо­мент на­пи­сания ста­тьи (конец но­яб­ря), BrowserID еще до­воль­но сы­рой. Боль­шин­ст­во раз­ра­бот­чи­ков брау­зе­ров по­ка не со­об­ща­ли о сво­их пла­нах вклю­чить его в свое ПО. Хо­тя глав­ная про­бле­ма не в этом.

О Вот как? А в чем же?

О От­кры­тым оста­ет­ся во­прос, со­гла­сят­ся ли, и когда, крупней­шие поч­то­вые про­вай­де­ры и ин­тернет-со­об­ще­ст­ва, та­кие как Facebook и Twitter, под­дер­жи­вать BrowserID – то есть стать про­вай­де­ра­ми иден­ти­фи­ка­ции. Осо­бен­но ес­ли, как в слу­чае с Facebook, у них есть соб­ст­вен­ные аль­тер­на­ти­вы. Кро­ме то­го, все эти про­вай­де­ры долж­ны бу­дут прий­ти к со­гла­шению по спо­со­бам досту­па к от­кры­тым клю­чам. К сча­стью, это не ме­ша­ет по­про­бо­вать BrowserID или при­менить его на ва­шем сай­те.

О Это здо­ро­во. Как по­про­бо­вать его се­го­дня?

В На дан­ный мо­мент, луч­ший спо­соб уви­деть BrowserID в дей­ст­вии – по­се­тить офи­ци­аль­ный де­мо-сайт на Myfavoritebeer.org.

О Как на­счет web-раз­ра­бот­чи­ков?

В Ес­ли они ис­поль­зу­ют по­пу­ляр­ное от­кры­тое ПО, на­по­до­бие WordPress или Drupal, то им по­вез­ло: мо­ду­ли рас­ши­рения BrowserID для этих сис­тем управ­ления кон­тен­том уже есть. В про­тив­ном слу­чае, нуж­но сле­до­вать ин­ст­рук­ции на BrowserID.org. Но да­же в этом слу­чае они смо­гут поль­зо­вать­ся BrowserID без необ­хо­ди­мо­сти на­пи­сания ка­ко­го-ли­бо ко­да ау­тен­ти­фи­ка­ции.