Долой логины!

при запросе контента сайта требовать только пароль

логины разные, а пароль может быть одинаковый

OpenID полюбит тебя

а вот email, да можно выпиливать... В качестве подтверждения регистрации дак точно. Или оставить его как опцию.

1) при запросе контента сайта требовать только пароль

если нужен какой-то display-name, можно ведь его из профиля извлечь?

Вот это бред...

плюсую эту личность в открытую.

И ведь в некоторых местах всякие guerillamail и 10-minute-mail запрещены, вообще нельзя со временным емайлом зарегаться

В интернете много сайтов, которые требуют регистрации, для регистрации требуют email-адрес, а при доступе к контенту требуют залогиниться, предьявив логин и пароль.

Как правило, на таких сайтах и нет ничего ценного, так что их можно обходить. Исключения - ЛОР, dirty.ru, лепра - в общем, немного, и все специфическое, в общем-то. Веб-сервисы - другая история, но и тут мало кто не дает зайти по фейсбук-логину. А все остальное доступно через OpenID. Так что не вижу проблемы.

> 1) при запросе контента сайта требовать только пароль

если нужен какой-то display-name, можно ведь его из профиля извлечь?

Ну ввожу я пароль qwerty12345

Мне говорят: этот пароль используется профилями Васи Пупкина, Феди Тютькина, Глаши Лаптевой и Жанны Лобковой. С каким профилем продолжать?

Или другая ситуация. Нельзя иметь одинаковые пароли.

И тогда я ошибаюсь на один символ и сразу влетаю в профиль Феди Тютькина и начинаю рассказывать от его имени, что мол, у меня тут мешок кокаинума есть.

OpenID решит часть проблемм. Но, по мнению админов ЛОРа, он не нужен.

Так email почти никогда не требуется на сайтах, где можно использовать для входа OpenID.

Было обсуждение?

Было много тредов в Linux-org-ru.

http://www.linux.org.ru/jump-message.jsp?msgid=3982636&cid=3989410

>при запросе контента сайта требовать только пароль

«такой пароль уже использован, попробуйте другой»? :D

Это позволило бы пользователям регистрироваться быстре

Для этого сегодня есть OpenID. Авторизовался один раз на Gmail/Facebook/Twitter/LiveJournal/Вконтакте/Yandex/etc — и потом «регистрируйся» на правильном ресурсе в пару кликов.

Владелец сайта не сможет собрать аккаунты логинящихся?

OpenID спасет юного велосипедиста.

В этом еще один плюс Ubuntu, их логин един для всех сервисов, плюс еще и там где есть OpenID оно работает.

> Это позволило бы пользователям регистрироваться быстре (выдумывать меньше деталей, не придумывать вымышленные имена), устранило бы проблему забывания и восстановления паролей (забыл - ССЗБ).

Не вижу, в чем плюсы.

Что, опять всех виртуалов забанили?

> 1) при запросе контента сайта требовать только пароль

Пароли в базах обычно хранятся вместе с рандомной солью. Если в базе 10000 юзеров, то придется при каждой попытке логина строить 10000 хешей и проводить их сравнение.

Пора вообще избавится от рудимента в виде ручной регистрации. Она должна проходить автоматически, а для безопасности использовать юбикей или аналоги.

можно еще свой публичный ключ на сайты выгружать.

На своём сайте сделал авторизацию опциональной, по openid. Не хочешь логиниться - не надо, всё нужное будет храниться в куках или памяти пользователя - что дольше просуществует. Так достаточно близко к виртуальным реалиям?

Идея мощная. А потом что? Потом заставить сервер шифровать для каждого пользователя его публичным ключем, а браузер научить расшифровывать приватным ключем ?

Как это сделать?

А зачем нужны виртуалы? Боишся, что модераторы забанят за нехорошие дела?

Как это сделать?

man AJAX :)

А как этот AJAX будет получать доступ к приватному ключу ?

А вот ввожу я при регистрации. а мне пишут «такой пароль уже используется» (а в регистрации не отказать нельзя, иначе не понятно будет под каким профилем логинится если пароль не уникален). Ну и я авторизуюсь на сайт под этим паролем и получаю доступ к чьему-то аккаунту. Спасёт разьве что требование длинного стойкого пароля, вероятность повторения которого слишком мала.

>Владелец сайта не сможет собрать аккаунты логинящихся?

По OpenID? Аккаунты — нет. Параметры — только те, что отдаст OpenID-сервер — он обычно об этом предупреждает. Как правило, это e-mail, ник/имя, аватар. Ну и ресурс, на который логинишься по OpenID ещё может запросить разрешение на постинг от твоего имени в OpenID-блог и т.п. (например, репост твоих сообщений).

«Извините, этот пароль уже используется пользователем admin. Пожалуйста, выберите другой пароль.» (c)

> Ну и я авторизуюсь на сайт под этим паролем

и получаю доступ к чьему-то аккаунту.

Спасёт разьве что требование длинного стойкого пароля,

вероятность повторения которого слишком мала.

Длинные и стойкие пароли - это хорошо.
А о требовании таком можно при регистрации уведомить.
А если совпал - то пользователь ССЗБ (или это было его тайное желание)

Плюсую за некоторые пункты, уточнять ленива, почта устарела

>> при запросе контента сайта требовать только пароль

логины разные, а пароль может быть одинаковый

Такой пароль уже существует, попробуйте снова.

И правда, секюрный путь только один: доверить шифрование (а значит, доступ к ключам) какой-то третьей стороне.

http://www.bugmenot.com/

Ты только что изобрёл openid.

Откройте для себя изумительный мир oauth.

В oauth мне не нравится привязка провайдера к URL.
Допустим я хочу поднять свой собственный провайдер,
для анонимности я хочу поднять его в сети I2P.

Вопросы:
1) а работать через гейт оно будет (там же все на форматы URL завязано, а не на ключи)?
2) какой открытый софт мне использовать (что emerge-ить) на стороне сервера?

Я не понимаю, зачем нужны эти провайдеры. Что мешает сделать провайдера прямо в браузере? И к пользователю близко, и rich UI, и полный контроль над данными... захотел - стер.

Для того, чтобы сделать провайдера в браузере достаточно заменить URL на публичный ключ (потому что у браузера нет своего URL). И высылать этот ключ браузер может сам, не требуя ввода логина, в отличие от OpenID. А если логинов несколько - переключать их в браузере логичнее, чем в каждом провайдере...

я думаю это заговор W3C. они живут на деньги от стандартов и поэтому привязывают все к URL-ам. Были бы учеными - привязывали бы к крипоключам.

https://addons.mozilla.org/ru/firefox/addon/bugmenot/

У вас ключевой фишкой было указано «регистрироваться быстрее», а не анонимность. Ну дык сделайте регистрацию с использованием фейсбука, гугла, фконтактега, яндекса и т.п. И логин тоже.

Есть еще вариант для ленивых - интегрировать это все через «логинзу».

> интегрировать это все через «логинзу».

все они требуют email. это несправедливо

Вот нафиг это подтверждение реги по емейлу? Геморрой только один.