OpenID登录是否受到Ubuntu论坛漏洞的侵害？

18

老实说，我不记得我曾经登录过Ubuntu论坛的内容，但是我很确定它是OpenID。我应该担心吗？

ubuntu-forums

— 乔治布林代罗
source

4

OT近距离投票者：这个问题肯定是话题。我们在这里为使用Ubuntu社区资源的人们提供帮助（“由Ubuntu提供的服务”）。此外，它不属于上元，这是唯一的问题，您问的Ubuntu本身（而不是对其他的Ubuntu相关的网站）。但是，它可能被认为是先前问题的重复。如果我们关闭其中任何一个作为另一个的副本，我建议合并他们的答案。

— 伊利亚·卡根

关于合并答案：老实说，我看过另一个问题，但不知道该问题是否适用于我的案子。

— georgebrindeiro

15

由于OpenID登录始终在发行方进行处理（例如，如果您使用从Launchpad获得的OpenID，则论坛将与Launchpad联系，由Launchpad处理您的身份验证），因此论坛不会保留您的OpenID密码（他们不会这样做）根本不需要它）。

因此，攻击者可以获得的只是您的OpenID登录名，而不是密码，因为它实际上并不存在。

同样，仅出于完整性考虑，根据本正式公告，仅影响论坛，不影响其他服务。

— 拉斐尔·西耶拉克（RafałCieślak）
source

1

不仅仅是不需要保存它的情况-他们甚至无法保存它，因为良好的OpenID依赖方永远不会看到用户的密码。

— Martin Thoma 2013年

8

从 http://openid.net/

使用OpenID，您的密码仅提供给您的身份提供者，然后该提供者向您访问的网站确认您的身份。除了您的提供商之外，没有网站能看到您的密码，因此您无需担心不道德或不安全的网站会损害您的身份。

身份提供商例如是Google，而您访问的网站是用友。

所以是的，你应该很安全。

— 林兹风
source

3

一般来说，（至少据我所知）使用Open ID帐户登录时，身份验证完全由外部网站处理（例如，如果我要使用Facebook登录此处，则是身份验证）将完全由Facebook处理，而不由Ask Ubuntu处理）。另一个站点仅移交一个唯一的标识符，该标识符告诉Ubuntu论坛/ Ask Ubuntu /您是什么，而不会传递您的任何登录详细信息。

因此，Ubuntu论坛存储的密码（+散列和加盐）将仅用于本地帐户（如当前维护页面的“我们所知”部分所述）

当然，如果您仍然担心它，那么更改密码不会有任何伤害-出于安心的考虑，无论如何这样做都是一个好主意-但据我所知，除非您使用了该服务用来验证您的Open ID（Google，Facebook等）是否遭到破坏的身份，应该没有太多原因要担心。

有关更多详细信息，请参见OpenID网站上的此页面。

— 杰兹·W
source

1

如果您确实使用过OpenID：否。

登录过程在您的OpenID提供程序与您之间执行。允许您使用OpenID的服务甚至都看不到您的密码！ubuntuforums不可能存储您的密码。

OpenID资源

以下资源可能有助于您了解OpenID的工作方式。

一个YouTube的视频
维基百科
Google提供了许多有关OpenID 的内容（图像非常好）

— 马丁·托马
source