まちゅダイアリー
2007-02-05 (月)
■ OpenID とか認証APIとか
ここギコさんとこで、Yahoo USAのID を OpenID に変換してくれるプロキシサイト(idproxy.net)が紹介されてた。
誰かidproxy.netと同様のやり方で、はてな認証APIのOpenIDプロキシ作りまへんかー
ということで、OpenIDプロキシがあると何が嬉しいかよく分からなくなったので、絵にしてみた。 あくまでたとえ話なので、正確じゃないところもあると思う。
ということで、とある世界の話。
(1) 認証API以前
- はてな村やじゅげ村や○○村など、人々は思い思いの所に住んでいる。
- 村の中では村民カードが発行されていて、それぞれの身元が分かる。
- 村民カードは村の外に出ると溶けてしまう。
- そのため、他の村や外の世界のマンションに遊びに行く時は、みんなどこの村の出身か分からない。
(2) TypeKey 登場
マネーロンダリング法の改正により、マンションへの入室やデパートでの買い物が厳しくなった世界。
- XX村が村民カードとは別に、村の外でもちょっとの時間だけ溶けないパスポートを発行するようになった。
- パスポートは少し時間が経つと溶けてしまう。だから、村民は外に出るたびに新しいパスワードを発行してもらっている。
- マンションやデパートが、パスポートでの身分証明を受け付けるようになった。
- XX村の村民は、外に出ても身分を証明できるようになった。
- はてな村やじゅげ村の人は、身分を証明できないまま。XX村と二重に村籍を取得する人も出てきた。
(3) 認証APIの並立
- はてな村やじゅげ村もパスポートを発行するようになった。
- ただし、村ごとにパスポートの形や、書かれている言葉が違う。
- マンションはいろんな村のパスポートに対応するのが大変。
(4) OpenIDの登場
- XX村が新規格のパスポートを提唱する。
- これまでのパスポートと違って、世界共通のフォーマットに準拠。
- しかも、村に住んでいない人の身分も証明してくれる。
- 新規格のパスポートに対応するマンションが増える。
- はてな村やじゅげ村の人たちは、再び二重村籍を取得して、新規格のパスポートを手に入れる人も。
(5) OpenIDプロキシサービスの登場
- 村ごとの古いパスポートを新規格のパスポートに交換してくれるサービスが登場。
- はてな村やじゅげ村の人は、出かける際に交換サービスに立ち寄って、新規格のパスポートに交換してもらうようになった。
注意点
繰り返すけど、これはあくまでもたとえ話。 実際には OpenID が新規格ではてな認証APIが旧規格って訳じゃないので注意。
それはそれとして、この世界で新規格のパスポートが普及するかどうか（＝パスポートの交換サービスが繁盛するかどうか）は、世の中のマンションやアパートが対応するかどうかに尽きるんじゃないかな。 必ずしも新規格のパスポートが優れているとも限らないし、旧規格のパスポートが使えるんだったら、無理に新規格に乗り換える必要は無い訳で。
現状だと、そもそも新旧関係なくパスポートが使われているケースが少ないしなぁ。 図で言うと(1)と(2)の間くらいの段階？ ということで、とりあえずはもっとパスポートが使えるマンションやデパートや村が増えるといいかもね。
追記
書き忘れてた. 変換サービスを経由して取得する新規格のパスポートは、発行元は変換サービスになる。 変換サービスがその気になれば、偽のパスポートだって発行できる。 OpenID的には、信頼できる発行元を選ぶのは村民の役割なんだろうけど、これが受け入れられるかどうかが普及の鍵かも。 （別に変換サービスに限らず、XX村のパスポート発行センタだってその気になれば偽パスポートを発行できる）
■ 認証APIとフィッシング対策
はてな認証APIがでてきた時に、結城さんが一般ユーザにきちんと認識させないと、悪意のある第三者が一般ユーザのパスワードを奪うアプリを作ってしまう危険性を指摘されていた。 だからかどうかは分からないけど、idproxy.netはログイン時にモンスターの「絵」がでてくる仕組みになってる。
- idproxy.net にユーザ登録する時に、お気に入りのモンスターの絵を選ぶ（たぶんたくさんの種類の絵を用意しているはず）。
- idproxy.net にログインすると、登録時に選んだモンスターの絵が表示される。
ユーザが何のモンスターを選んだかはユーザとidproxyしか知らないので、偽サイトには正しいモンスターを表示できない…？ でも、偽サイトが盗んだパスワードでidproxyにログインしたら、ユーザのモンスターが分かってしまう訳で、対策になっていないような気もする。 ちゃんと説明を読まないと、よく分からないや。
公式サイトのPhishing protectionから引用。
Phishing is a form of identity theft. It occurs when an evil site pretends to be a site that you trust (by copying its design) in order to steal your username and password. idproxy.net includes two features to help you avoid being taken in by phishing attempts.
ここで「Your monster」と「A safe landing page」が対策に挙げられてる。
