La sécurité du système OpenID mise en question

QQ liens en plus sur ce sujet:

http://blogs.sun.com/racingsnake/entry/ ... lti_factor

http://www.zdnet.fr/actualites/internet ... 429,00.htm

http://www.zdnet.fr/actualites/informat ... 458,00.htm

http://www.links.org/files/openid-advis ... visory.txt

L'acquisition de Credentica par Microsoft laisse augurer d'une possible guerre des « standards » en matière de gestion des identités sur le Web.

A suivre....

Si la méthode d'attaque soulevée par Laurie & Clayton est indiscutable, le bruit qui a entouré la publication de leur papier est surprenant d'autant plus que je ne connais pas d'exploitation de la faiblesse du générateur pseudo-aleatoire de Debian.

Maintenant la raison est peut-être plus simple qu'une n-ieme tentative de FUD signée Microsoft: Kaminski a utilisé OpenID comme exemple d'exploitation de sa faille lors de sa présentation a Blackhat, et comme par hasard un article du New York Times sur le problème structurel de l'utilisation du des mots de passe (http://www.nytimes.com/2008/08/10/techn ... 0digi.html ) accuse de façon surprenante OpenID de promouvoir ce modèle.

Comme ils disent outre-atlantique, c'est "beating a dead horse"

Pourtant OpenId est agnostique sur la méthode d'authentification et certains providers offrent de nombreuses méthodes d'authentification alternatives comme le certificat local ou l'appel téléphonique (myopenid.com).