טוויטר איננו OpenID

פוסט תגובה לניב קלדרון שמנסה לטעון שטוויטר הופך לספק אופן-ID דה-פאקטו. הטיעון מתבסס על זה שקמו כבר כמה עשרות אתרים שבמקום לדרוש ממך פתיחת יוזר חדש מבקשים ממך רק את היוזר והסיסמא של טוויטר ושלום על ישראל. אני רוצה לציין כאן שזו לא רק טעות לחשוב ככה, זו גם טעות מסוכנת.

1. מסירת הסיסמא של הטוויטר שלך לגורמים צד-ג' (במיוחד שירות חדש שצץ ועוד אין עליו הרבה ביקורות) אומר שאתה נותן לעוד מישהו (חברה או רמאי "phishing") סיסמא לשליטה בשמך ותדמיתך בטוויטר. הוא יוכל לשנות לך את הסיסמא ותשאר נעול מחוץ לחשבונך. לא בדקתי כמה קל לבקש איפוס סיסמא ואם ניתן גם להחליף לך את כתובת הדואר בלי לקבל קוקי אישור מהמייל הקודם, אבל עדיין, אותו תוקף (או סתם בעל שירות שלא עבר QA) יכול למרר לך את החיים. גם ככה מספיק מסוכן היום כשהרבה דפדפנים מוסרים את הסיסמא בשבילך בקלות רבה מדי. זכרו שאתר שמחזיק את סיסמת חשבון הטוויטר שלכם מחזיק גם את פרטי ההתכתבויות הפרטיות שלכם, ואם אתם לא זהירים וממחזרים סיסמאות (ומי ביננו לא עושה את זה?), הוא גם יודע עכשיו את הסיסמא שלכם לעוד מקומות.

2. שירות OpenID אינו דורש ממך לתת את סיסמתך לאתרים אחרים, הוא גם לא מגלה עליך פרטים אישיים שלא תרצה, הוא רק מזהה אותך בצורה אחידה לכמה אתרים, האתרים הרחוקים יודעים שזה אתה ולא מישהוא אחר כי הם רואים שהURL שנתת מכיל שרת OID שסומך על סיסמתך, וזה צריך להספיק.

3. שירות שרוצה לזהות אותך באופן ×—×—"×¢ וגם להשתמש בחלקים מהשירות הראשי יכול ×”×™×” לקבל מפתח חלקי ומיוחד, כך למשל קורה לי עם פליקר. יש לי כבר שלוש תוכנות שונות שמשתמשות בAPI ×”×–×”. למשל uploadr, מבקש רק שם משתמש, מתחבר לפליקר ומבקש זכויות מסוימות (לדוגמא פתיחת SET חדש והעלאת תמונות, אבל לא מחיקה שלהן). פליקר שולח לו מפתח (קוקי שכזה) וכשאכנס בדפדפן לפליקר המערכת תספר לי שהתקבלה בקשה לחיבור עם זכויות מופחתות, מאיזה IP ושם התוכנית, ואם אני ביקשתי את ×–×” אני יכול לאשר. זו הדרך האלגנטית והנכונה לעשות דברים. עד שטוויטר לא מציע את ×–×”, אני לא אכניס את הסיסמא שלו לאתרים צד ×’'. אולי אסמוך על גוגל בשביל "חבר לחבר" אבל גם בזה אינני בטוח…