BrowserID是否安全？

立即想到的一個問題是，似乎任何人都可以訪問我的瀏覽器可以登錄爲我。這也是將證書存儲在瀏覽器中的一個問題，除了我可以在逐個站點的基礎上做出決定。是BrowserID的全部還是全無？

是否還有其他潛在的安全缺陷？

我猜實際的實現會彈出一個請求的權限來做一個browserID登錄，然後發送加密的令牌。 –

@Marc B對，但它應該是一個雙擊過程。如果我的理解正確，那麼您不會在該彈出框中輸入憑據 - 只需驗證您是否要使用特定的電子郵件地址登錄到特定的目標網站即可。 –

Firefox允許您使用主密碼保護常規存儲的密碼，該密碼用於保護用於加密密碼的加密密鑰。我會認爲類似的東西會適用於BrowserID。 – Neil

這不是直接回答你的問題，但線程在「安全」堆棧交換場地，其中討論了差不多

2011-12-27 18:32:57 Rajeesh

有用的鏈接，謝謝！ –

我終於找到了Daniel促成第三Q & A在BrowserId/Persona and WebID。我發現這個答案最有幫助。（我試圖說服他，張貼在這裏，但他建議我這樣做的。）

Security, Privacy and Usability Requirements for Federated Identity由邁克爾·哈克特和寇霍基提供WebID和Mozilla的Persona，這在當時仍被稱爲之間的比較BROWSERID。

被注意的是，（表1中）的主要區別是：

假面鍵是短暫的，並應與密碼保護。 WebID密鑰長期存在，但可以輕鬆地從密碼保護的配置文件中禁用。
當前的Persona實現使用標準的瀏覽器窗口，因此難以發現欺騙（這可能會在瀏覽器獲得本機Persona支持後更改）。 WebID使用瀏覽器本地證書選擇UI，因此沒有釣魚的可能性。
如果對所有者電子郵件/ URI的控制丟失，則Persona和WebID身份都會受到影響。
角色IdPs不知道使用身份的SP。 WebID IdPs知道每個使用身份的SP。
如果Persona SP擁有IdP公鑰的緩存，並且瀏覽器仍然有一個有效的證書，它仍然可以驗證身份。 WebID配置文件必須可到達，否則身份將無法使用。
Persona具有良好的用戶體驗設計，而WebID則相反。

我建議您閱讀紙張了解更多詳情。它可以在線免費獲取，不需要數字圖書館訪問。

2013-03-03 21:34:52 sage

回答