だから、私は OpenID のアイデアが好きです。私は自分のサイトでそれをサポートしており、可能な限りどこでも使用しています (ここなど!)。しかし、私は一つのことについて明確ではありません。
OpenID をサポートするサイトは、基本的に OpenID プロバイダーを受け入れますよね? ボットのサインアップを減らしたいサイトでは、それはどのように機能しますか? 悪意のある OpenID プロバイダーが無制限のボット ID を自動的に設定するのを防ぐにはどうすればよいですか?
私にはいくつかのアイデアがあり、可能な答えとして投稿しますが、誰かが私が見逃した明らかなものを見ることができるかどうか疑問に思っていましたか?
識別と承認という 2 つの異なるものを混同しています。誰かが誰であるかを知っているからといって、自動的に何かをする許可を与える必要があるわけではありません。Simon Willison はこれをAn OpenID is not an account! でうまくカバーしています。 ホワイトリストの詳細については、OpenID を使用したソーシャル ホワイトリスト を参照してください。
あなたの質問に対する短い答えは、「そうではありません」です。OpenID は、集中認証サイトを持つためのメカニズムのみを意図的に提供します。どの OpenID プロバイダーを個人的に許容できると考えるかは、あなた次第です。たとえば、Microsoftは最近、Healthvault サイトで OpenID を一部のプロバイダーからのみ許可することを決定しました。企業は、LDAP に基づくアクセス ポイントからの OpenID ログインのみを許可することを決定する場合があり、政府機関は、生体認証に基づくサイトからの OpenID のみを受け入れる場合があり、ブログは、厳しいスパム審査のために TypePad のみを受け入れる場合があります。
OpenID に関しては多くの混乱があるようです。当初の目標は、単純に標準のログイン メカニズムを提供することでした。これにより、安全なログイン メカニズムが必要な場合に、任意またはすべての OpenID プロバイダーから選択して処理できるようになります。どこにいても、信頼できる独自の OpenIDプロバイダーを設定できるようにすることは、決して目標ではありませんでした。2 番目のことを効果的に行うことは不可能です。結局のところ、暗号化を使用したとしても、安全に嘘をつき、必要な相手を認証していると言う独自のプロバイダーを設定できない理由はありません。単一の標準化されたログイン メカニズムを持つこと自体が、すでに大きな前進です。
OpenIdは、ユーザーがサイトに登録するときに選択するユーザー名とパスワードにすぎません。ボットを排除するためにOpenIdフレームワークに依存することはありません。あなたの登録システムはまだそれをしているはずです。
考えられる解決策-CAPTCHAテストに合格するように新しいIDを要求することもできます。ボットが任意のサイトに偽の/複数の電子メールアドレスでサインアップできるのと同じように、そこでも「検証」ステップに失敗します。
それとも、プロバイダーのブラックリストの維持を開始する必要がありますか？新しいプロバイダーを設定するのがいかに簡単であるかを考えると、これらは実際にはうまく機能しません。
私の知る限り、OpenIDは認証ではなくIDのみを対象としています。ボットの停止は承認の問題です。
従来の「サイトごと」のログインとは異なり、OpenID は潜在的に個々のサイトを超える ID を提供することに注意してください。さらに良いことに、この ID は URI であるため、RDF を使用して ID に関する任意のメタデータを交換またはクエリするのに最適です。
OpenID では、新しいユーザーの従来のユーザー名ではできないいくつかのことができます。
まず、簡単なホワイトリスト操作を実行できます。*.bigcorp.example が Big Corp の従業員からの OpenID であり、Big Corp がスパマーではないことがわかっている場合は、それらの OpenID をホワイトリストに登録できます。これは、半閉鎖的なサイトでうまく機能するはずです。おそらく、現在および過去の従業員のためのソーシャル サイトです。
ただし、特定の OpenID が使用されている他の場所から推測することはできます。OpenID から Stackoverflow.com の評価値へのマップがあるとします。誰かが OpenID を持って Web フォーラムに現れた場合、Stackoverflow での評判が良いかどうかを確認し、それらのユーザーの CAPTCHA または試用期間をスキップできます。