OpenID का उपयोग करने वाली साइटों पर प्राधिकरण के दौरान सुरक्षा

OpenID एक खुली विकेन्द्रीकृत प्रणाली है जो उपयोगकर्ता को विभिन्न असंबंधित साइटों, पोर्टलों, ब्लॉगों और मंचों पर प्रमाणीकरण के लिए एकल खाते का उपयोग करने की अनुमति देती है। यदि WEB साइट में प्रमाणीकरण या उपयोगकर्ता प्राधिकरण का उपयोग शामिल है, तो इसे लागू करने के लिए संभावित विकल्प नीचे दिए गए हैं:
1) ईमेल दर्ज करके और आवश्यक डेटा भरकर मानक पंजीकरण का उपयोग करें।
2) OpenID प्रदाता के व्यक्तिगत पहचानकर्ता को इंगित करके प्रमाणीकरण का उपयोग करें।
3) OAuth ओपन प्रोटोकॉल के माध्यम से प्राधिकरण का उपयोग करें

दूसरे और तीसरे तरीकों के लिए समर्थन फायदे में से एक है, जो पंजीकृत उपयोगकर्ताओं की संख्या में वृद्धि करना चाहिए।



1) OpenID प्राधिकरण का उपयोग करने का उद्देश्य

OpenID का उपयोग करने का मुख्य उद्देश्य उपयोगकर्ता पंजीकरण को सरल बनाना है। एकल साइन-ऑन की विकेंद्रीकृत प्रणाली में सरलीकरण प्राप्त किया जाता है, जो आपको बड़ी संख्या में साइटों पर एक लॉगिन और पासवर्ड का उपयोग करने की अनुमति देता है। OpenID का समर्थन करने वाली साइटों पर, उपयोगकर्ताओं को हर बार पंजीकरण करने और प्रत्येक साइट के डेटा को याद रखने की आवश्यकता नहीं होती है। इसके बजाय, उन्हें केवल "पहचान प्रदाता" ओपनआईडी (पहचानकर्ता प्रदान करना) की साइट पर पंजीकृत होना होगा। चूंकि OpenID तकनीक का विकेंद्रीकरण किया गया है, कोई भी साइट OpenID सॉफ़्टवेयर को प्रविष्टि के साधन के रूप में उपयोग कर सकती है। OpenID की सुविधा इस तथ्य में भी निहित है कि OpenID द्वारा अधिकृत करते समय, विज़िट की गई साइट उपयोगकर्ता के व्यक्तिगत डेटा (ईमेल, नाम, लिंग, जन्म तिथि आदि) को तुरंत प्रसारित कर सकती है और उसे हर बार इस जानकारी को दर्ज करने की आवश्यकता नहीं होती है - बस साइट पर एक बार करें OpenID प्रदाता।

2) OpenID प्राधिकरण के संचालन का सिद्धांत

ओपनआईडी प्राधिकरण के संचालन के सिद्धांत को एक उदाहरण के रूप में माना जाएगा।
WEB ब्राउज़र के माध्यम से एक उपयोगकर्ता कुछ वेबसाइट पर जाता है, जिसमें वह दिलचस्पी रखता है (ओपनआईडी - आधिकारिक पार्टी, आरपी में आधिकारिक शब्दावली के अनुसार)। मान लीजिए कि आगे उपयोगकर्ता साइट के किसी एक ब्लॉग पर एक टिप्पणी छोड़ना चाहता है। OpenID तकनीक का समर्थन करने वाली साइट के बिना, उपयोगकर्ता को पंजीकरण करने के लिए प्रेरित किया जाएगा, जिसका अर्थ है कि अगला लॉगिन और पासवर्ड बनाना या प्राप्त करना। यदि साइट OpenID तकनीक का समर्थन करती है, तो पंजीकरण क्षेत्र के बगल में OpenID लॉगिन द्वारा इंगित किया जाएगा (सबसे अक्सर OpenID लोगो द्वारा इंगित किया जाता है)। इसके बाद, उपयोगकर्ता OpenID पता दर्ज कर सकता है - प्रदाता (OP) के OpenID सर्वर पर उपयोगकर्ता के व्यक्तिगत पृष्ठ का पता। उदाहरण के लिए, यदि किसी उपयोगकर्ता को यैंडेक्स वेबसाइट पर अपना OpenID प्राप्त हुआ है, तो इस OpenID का फ़ॉर्म username.ya.ru है ("उपयोगकर्ता नाम" yandex.ru पर उपयोगकर्ता का लॉगिन है)। आगे की प्राधिकरण प्रक्रिया नीचे दिए गए चित्र में दिखाई गई है।


नीचे साइट पर प्राधिकरण के स्क्रीनशॉट दिए गए हैं www.livejournal.com OpenID प्रदाता myopenid.com द्वारा जारी OpenID पहचानकर्ता का उपयोग करते हुए
एक। उपयोगकर्ता साइट www.livejournal.com पर एक टिप्पणी लिखना चाहता है। हालाँकि, उसने अभी तक साइट पर पंजीकरण नहीं किया है, लेकिन प्रदाता myopenid.com के साथ एक OpenID पहचानकर्ता है
ख। उपयोगकर्ता www.livejournal.com साइट खोलता है
सी। अगला, उपयोगकर्ता OpenID के माध्यम से प्राधिकरण विधि का चयन करता है और OpenID प्रदाता वेबसाइट में लॉग इन करता है।




डी) ओपनआईडी प्रदाता उस पासवर्ड को दर्ज करने की पेशकश करता है जो उपयोगकर्ता ने ओपनआईडी खाता बनाने के चरण में पहले सेट किया था। अगला, हम नीचे इस पर विचार करेंगे कि इस चरण में उपयोगकर्ता को कौन सी सुविधाएँ दी जानी चाहिए।


ई) उपयोगकर्ता ओपनआईडी प्रदाता के अपने लॉगिन और पासवर्ड में प्रवेश करता है, जिसके बाद साइट www.livejourb.com पर उपयोगकर्ता को प्रमाणित किया जाता है।


च) एक पल के बाद, वेबसाइट www.livejournal.com ब्राउज़र में दिखाई देती है, जहाँ उपयोगकर्ता पहले से ही प्रमाणित है और टिप्पणियां लिख सकता है।


3) एनालॉग्स OpenID

ओपनआईडी के अलावा, पंजीकरण के बिना साइट संसाधनों का उपयोग करने के अन्य तरीके हैं।
क) सबसे पहले, आइए सिंगल साइन-ऑन तकनीक पर नजर डालते हैं। प्रौद्योगिकियां सिद्धांत रूप में बहुत समान हैं, लेकिन कुछ अंतर हैं:
- यदि वेब पोर्टल (मंच, चैट, ब्लॉग आदि) पर कई व्यापक स्वतंत्र खंड हैं, तो किसी एक सेवा में प्रौद्योगिकी पर एकल संकेत का उपयोग करके प्रमाणीकरण प्रक्रिया पारित करने के बाद, एक व्यक्ति स्वचालित रूप से सभी अन्य लोगों तक पहुंच प्राप्त करता है, जो उसे बचाता है अपनी खाता जानकारी फिर से दर्ज करना। यहाँ OpenID और सिंगल साइन के कार्य समान हैं।
- ओपनआईडी के विपरीत, "सिंगल साइन ऑन" केंद्रीकृत है, जो केवल एक निश्चित प्रणाली के भीतर खाते का उपयोग करने की संभावना को दर्शाता है, उदाहरण के लिए, एक कॉर्पोरेट नेटवर्क के अंदर। उदाहरण के लिए, एक उपयोगकर्ता एक उपयोगकर्ता नाम और पासवर्ड दर्ज करता है, और प्रमाणीकरण एक निश्चित विश्वसनीय कॉर्पोरेट संसाधन में होता है (उदाहरण के लिए, सक्रिय निर्देशिका)। इसके अलावा, इस कॉर्पोरेट नेटवर्क (IE सहित) के कई अनुप्रयोगों और कार्यक्रमों में स्वचालित प्राधिकरण संभव है। यदि उपयोगकर्ता कॉर्पोरेट नेटवर्क को छोड़ देता है, तो वह खाते पर एकल चिह्न का उपयोग करने में सक्षम नहीं होगा।

बी) OAuth ओपन प्राधिकरण प्रोटोकॉल। आपको उसे (तृतीय पक्ष) लॉगिन और पासवर्ड स्थानांतरित किए बिना उपयोगकर्ता के संरक्षित संसाधनों तक सीमित पहुंच के साथ एक तृतीय पक्ष प्रदान करने की अनुमति देता है। OAuth प्रदाताओं के उदाहरणों के लिए, en.wikipedia.org/wiki/OAuth देखें। एक गलत धारणा है कि OAuth OpenID प्रोटोकॉल का एक विस्तार है, वास्तव में यह नहीं है। हालांकि OpenID और OAuth में बहुत कुछ है, बाद वाला एक स्टैंडअलोन प्रोटोकॉल है जिसका OpenID से कोई लेना-देना नहीं है।
OAuth एक प्राधिकरण प्रोटोकॉल है जो आपको संसाधन (उदाहरण के लिए, सेवा का एपीआई) का उपयोग करने के लिए अधिकार प्रदान करने की अनुमति देता है। उदाहरण के लिए, मैं OAuth प्रदाता vkontakte.ru के माध्यम से livejournal.com पर OpenID के माध्यम से अधिकृत करता हूं, बाद वाला कुछ उपयोगकर्ता जानकारी तक स्थायी पहुंच प्रदान कर सकता है।
OpenID एक प्रमाणीकरण उपकरण है: इस प्रणाली का उपयोग करके आप यह सत्यापित कर सकते हैं कि उपयोगकर्ता ठीक वही है जो वह होने का दावा करता है। OpenID के माध्यम से प्रमाणित उपयोगकर्ता द्वारा क्या कार्य किए जा सकते हैं यह प्रमाणीकरण पार्टी द्वारा निर्धारित किया जाता है।

4) बड़े OpenID प्रदाता और अपना स्वयं का OpenID सर्वर लिखना

OpenID प्रदाताओं की एक सूची openid.net/get-an-openid पर उपलब्ध है। OpenID प्रदाता चुनते समय, उपयोगकर्ता को सावधान रहने की आवश्यकता होती है, क्योंकि यह एक तथ्य नहीं है कि छोटा प्रदाता उपयोगकर्ता डेटा को बाहर प्रसारित नहीं करेगा और यह प्रदाता एक वर्ष में बंद नहीं होगा, जिससे किसी अन्य प्रदाता से एक नया OpenID डेटा बनाने की आवश्यकता होगी।
उन्नत उपयोगकर्ताओं के लिए उनकी वेबसाइट के URL के संकेत के साथ OpenID द्वारा प्राधिकरण की संभावना है (उदाहरण के लिए, www.ivan-petrov.ru ), जो बदले में, ओटीपी ( ओपेनआईडी प्रदाता) को प्राधिकरण अनुरोध को आगे बढ़ाएगा जो एचटीएमएल हेडर में इंगित किया गया है। इस मामले में, OpenID प्रदाता को बदलते समय, यह आपके HTML हेडर पृष्ठ के कोड को बदलने के लिए पर्याप्त है, और OpenID का उपयोग करने वाले प्राधिकरण के लिए URL समान है - हमारे उदाहरण में, www.ivan-petrov.ru । OpenID पहचानकर्ता के रूप में अपनी साइट का उपयोग करना उन साइटों पर संभव है जो OpenID URL को निर्दिष्ट करके प्राधिकरण का प्रस्ताव करते हैं। LiveJournal.com पर, यह संभव है।
यदि उपयोगकर्ता तीसरे पक्ष के OpenID प्रदाताओं पर बिल्कुल भरोसा नहीं करता है, तो थोड़ी प्रोग्रामिंग कौशल के साथ वह अपना खुद का OpenID सर्वर लिख सकता है और अपने प्राधिकरण के लिए और अन्य उपयोगकर्ताओं के लिए OpenID पहचानकर्ताओं को वितरित करने के लिए इसका उपयोग कर सकता है ( www.opennet.ru/base/dev/ पर उदाहरण देखें) openid_server.txt.html )।

5) OpenID सुरक्षा विश्लेषण

दुर्भाग्यवश, OpenID तकनीक (वर्तमान में OpenID प्रमाणीकरण 2.0) के लिए विनिर्देश यह नहीं बताता है कि OpenID का उपयोग करते समय प्रमाणीकरण कैसे सुरक्षित होता है।
इस संबंध में, इंटरनेट पर लंबी चर्चा चल रही है कि हमलावर गोपनीय उपयोगकर्ता डेटा कैसे प्राप्त कर सकते हैं (उदाहरण के लिए, उनके OpenID खाते के लिए पासवर्ड)। बेन लॉरी ने एक साधारण परिदृश्य का वर्णन किया है जिसमें आपका लॉगिन / पासवर्ड एक OpenID प्रदाता (OP) के लिए है, उदाहरण के लिए, LiveJournal, यदि आप सावधान नहीं हैं, तो फिशर्स के लिए आसान शिकार बन सकते हैं। सामान्य शब्दों में, परिदृश्य इस प्रकार है:
a) उपयोगकर्ता वेबसाइट पर जाता है, उदाहरण के लिए, फ़ोटो देखने के लिए। यदि उपयोगकर्ता फोटो के तहत एक टिप्पणी छोड़ना चाहता है, तो साइट केवल एक चीज मांगती है जो ओपनआईडी का उपयोग करके पंजीकृत या प्रमाणित करना है। उपयोगकर्ता OpenID का चयन करता है, वहाँ लिखता है, उदाहरण के लिए, user_xxx.livejournal.com, और फ़ॉर्म सबमिट करता है।
b) ओपनआईडी के सामान्य सिद्धांत के अनुसार, अब उपयोगकर्ताओं को www.livejournal.com/openid/server.bml पर भेजा जाना चाहिए। यदि उपयोगकर्ता livejournal.com में पहले से ही प्रमाणित है, तो सफल प्रमाणीकरण का संकेत फ़ोटो के साथ साइट पर वापस आ जाएगा और अतिरिक्त पैरामीटर भेजे जाएंगे। यदि नहीं, तो LiveJournal आपको पहले अपना लॉगिन / पासवर्ड दर्ज करने के लिए कहेगा। यह सिद्धांत में है। व्यवहार में, फ़ोटो वाली साइट साइबर अपराधियों की हो सकती है, और ओपी एंडपॉइंट के बजाय, यह उपयुक्त तरीके से url को मास्क करके उपयोगकर्ता को अपने प्रॉक्सी पर भेज सकता है, उदाहरण के लिए www.livejournal.com/openid.server.bml?lot_of_junk@evilcats.example.com । उपयोगकर्ता उसके सामने livejournal.com के साथ उसी पृष्ठ को देखेगा जिस पर आपको अपना डेटा दर्ज करने की आवश्यकता है, केवल यह प्रॉक्सी badcats.example.com के माध्यम से दिखाया जाएगा और livejournal.com के लिए लॉगिन / पासवर्ड प्रॉक्सी सर्वर लॉग में रहेगा। इस प्रकार, यदि उपयोगकर्ता ध्यान नहीं देता है कि वह किस URL पृष्ठ पर अपना उपयोगकर्ता नाम और पासवर्ड दर्ज करता है, तो इस डेटा के दुर्भावनापूर्ण डेटा प्राप्त होने की संभावना है। यह तथ्य ओपनआईडी तकनीक के तेजी से प्रसार के लिए एक बाधा है।
कुछ OpenID ब्लॉगिंग उपयोगकर्ता सक्रिय रूप से चर्चा कर रहे हैं कि उपरोक्त परिदृश्य से कैसे बचा जाए। उदाहरण के लिए, निम्नलिखित सुरक्षा विधियाँ प्रस्तावित हैं:
क) एक बार का पासवर्ड जनरेट करने का विकल्प:
- एक OpenID प्रदाता से एक उपयोगकर्ता के बीच एक एसएसएल चैनल का संगठन
- एक विशेष कुकी के उपयोगकर्ता के पीसी पर उपस्थिति, जो तब दर्ज की जाती है जब आप पहली बार OpenID प्रदाता की वेबसाइट पर पहुंचते हैं
- OpenID प्रदाता द्वारा अपने ईमेल पर भेजे गए पासवर्ड की पुष्टि पर उपयोगकर्ता को एक कुकी भेजी जाती है। कुकीज को OpenID प्रदाता की तरफ भी संग्रहीत किया जाता है, और जिसे मेल खाना चाहिए।
- पासवर्ड सही से दर्ज करने के बाद ही उपयोगकर्ता के पीसी में एसएसएल के माध्यम से कुकी भेजी जाती है
- विभिन्न साइटों पर OpenID प्रमाणीकरण के लिए, OpenID प्रदाता पीसी से प्राप्त एक के साथ कुकी की जांच करता है और फिर एक विशेष चित्र प्रदर्शित करता है जिसे केवल उपयोगकर्ता जानता है और जो प्रदाता के OpenID सर्वर पर लोड होता है। यदि उपयोगकर्ता इस चित्र को नहीं देखता है, तो OpenID सर्वर के साथ वास्तविक संचार नहीं होता है।
यह विधि ओपनआईडी द्वारा प्रमाणीकरण में सुधार करने की अनुमति देती है, लेकिन ब्राउज़र में कुकीज़ की आवश्यकता होती है, ईमेल पासवर्ड के रूप में एक अतिरिक्त लिंक दिखाई देता है।

ख) ओपनआईडी का उपयोग करते समय सुरक्षा बढ़ाने के लिए एक और सार्वभौमिक तरीका, उपयोगकर्ता के ब्राउज़र में विशेष प्लग-इन की उपस्थिति है। इस प्लगइन के बिना, ओपनआईडी पासवर्ड दर्ज करना उपयोगकर्ता के लिए अनुशंसित नहीं है। हालांकि, यह एक तथ्य नहीं है कि सभी प्रमुख ब्राउज़र डेवलपर्स इन प्लगइन्स को करेंगे।

c) और तीसरा तरीका OpenID प्रदाता के साथ प्रमाणीकरण के लिए SSL प्रमाणपत्र का उपयोग करना है। यह विधि, एक तरफ, सुरक्षा बढ़ाती है और प्रमाणीकरण की सुविधा देती है, क्योंकि उपयोगकर्ता को पासवर्ड दर्ज करने की आवश्यकता नहीं है। दूसरी ओर, हमलावरों द्वारा ट्रोजन के माध्यम से एक प्रमाण पत्र प्राप्त किया जा सकता है। इसके अलावा, केवल बड़े OpenID प्रदाताओं, उदाहरण के लिए myopenid.com, के पास SSL प्रमाणपत्र के लिए समर्थन है।

यह भी ध्यान दिया जाना चाहिए कि कुछ ओपी किसी अन्य ओपी के साथ पंजीकृत ओपनआईडी को स्वीकार नहीं करते हैं और यह एक सिंगल ओपनिंग पहचानकर्ता की परिभाषा को बदल देता है।

6) मानक

- ओपनिड ऑथेंटिकेशन 2.0
openid.net/specs/openid-authentication-2_0.html

- OpenID विशेषता विनिमय 1.0
openid.net/specs/openid-attribute-exchange-1_0.html

- ओपनआईडी सरल पंजीकरण एक्सटेंशन 1.0
openid.net/specs/openid-simple-registration-extension-1_0.html

- यदी डिस्कवरी प्रोटोकॉल (ओपनआईडी से अलग विकसित)
svn.infogrid.org/infogrid/docs/yadis/yadis-v1.0.pdf

निष्कर्ष

1. OpenID तकनीक उन साइटों पर प्रमाणीकरण का एक सुविधाजनक तरीका है जो इस तकनीक का समर्थन करते हैं।
2. OpenID के मालिक को विभिन्न साइटों के लिए कई पासवर्ड स्टोर करने और अपना ईमेल पता प्रदान करने की आवश्यकता नहीं है, उसे केवल अपने OpenID खाते का URL और उसके पासवर्ड को जानना होगा।
3. जब प्रदाता की OpenID वेबसाइट पर एक सक्रिय सत्र को प्रमाणित और बनाए रखना है, तो OpenID का उपयोग करने वाली अन्य साइटों पर प्रमाणीकरण एक पासवर्ड दर्ज किए बिना होगा, केवल उसके OpenID के URL को निर्दिष्ट करके।
4. संस्करण 2.0 के विनिर्देश OpenID का उपयोग करते समय सुरक्षा का उचित स्तर प्रदान नहीं करते हैं। वेब ब्राउज़र (पीसी / पीडीए / पीसी ब्राउज़र के लिए) के विशेष प्लग-इन को विकसित करने और उपयोग करते समय विनिर्देशों के नए संस्करणों में सुरक्षा में सुधार करना संभव है। अभी के लिए, सुरक्षा में सुधार करने के लिए, अनुभवी उपयोगकर्ताओं को SSL प्रमाणपत्र प्रदान करने वाले OpenID प्रदाताओं के साथ पंजीकरण करने की सलाह दी जा सकती है।
WEB साइटों और सेवाओं के 5. डेवलपर्स आसानी से OpenID का उपयोग करके प्रमाणीकरण कार्यक्षमता जोड़ सकते हैं, क्योंकि इसके लिए आवश्यक सभी लाइब्रेरी स्वतंत्र रूप से उपलब्ध हैं। OpenID प्रमाणीकरण के लिए समर्थन साइट की उपयोगिता को काफी बढ़ाता है, जो इस अवधारणा के विकास के लिए एक शर्त है।