SSO = unnötig

[Der Agent]

Sorry, aber dieses Tauziehen um einen ID Provider is technologischer BS vom feinsten.

Bitte Login per digitaler Signatur NFC Karte mit integriertem LCD-Display & PIN-Pad und das dann pushen. https://www.ubs.com/content/dam/ubs/microsites/digital/images/display-card-front-back-de3.png
Dazu per EU Gesetz alle Geräte mit NFC Reader ausstatten und die Sache is erledigt once and for all.

Alternative Lösung: Man hinterlegt man beim Provider seinen (PGP?) Public Key und dieser schickt einem eine verschlüsselte Mail mit einem Login-Link.

Das wäre alles so einfach, wenn mans nur einmal gscheid machen würde statt pseudo-security zu pushen...

[whamster]

Der Agent schrieb:
--------------------------------------------------------------------------------
> Alternative Lösung: Man hinterlegt man beim Provider seinen (PGP?) Public
> Key und dieser schickt einem eine verschlüsselte Mail mit einem
> Login-Link.

Ausgezeichnete Usability. Wird bestimmt jeder gerne verwenden.

> Das wäre alles so einfach, wenn mans nur einmal gscheid machen würde statt
> pseudo-security zu pushen...

Alle außer dir haben keine Ahnung, vor allem nicht die Leute die daran arbeiten...

[forty-two]

Natürlich meint er nicht Mail.
Ein public key wird bei dem Diensteanbieter hinterlegt (bei der Registrierung), bei der Anmeldung schickt der Server eine mit dem key verschlüsselte Nachricht die deinen computer, welcher sie mit dem private key entschlüsselt und zurückschickt. Dadruch weiß der server das du Inhaber des private keys bist und loggt dich ein.
Natürlich hat dein Computer einen Schlüsselspeicher der vielleicht auch eine smartcard ist die man mit pin entsperren muss.
Und natürlich musst du hier rein garnichts tun, weil dein Browser das zertifikat der website prüft, diese Anfragen an deinen computer gibt welcher dich maximal dazu auffordert die pin bei der smartcard einzugeben und dann die challange beantwortet.

So hat man natürlich auf jedem Gerät einen eigenen private key, sodass man auch einzelene Geräte rausschmeißen kann indem man einfach den zugehörigen public key beim Diensteanbeiter löscht.

[Cok3.Zer0]

Warum sehe ich auf der Webseite nun einen bestimmten Anbieter? Kann man nicht per registrierter URI den installierten Passwortmanager oder OpenID-App öffnen?
Ich kann mir nicht vorstellen, dass ich mich im Browser irgendwo auf einem Gerät anmelden muss, das ich selbst nicht kontrolliere bzw. keine Möglichkeit zur Installation einer App bietet.

[Der Agent]

Die Usability is deppensicher... Einzig implementiert werden muss es, was auch nicht schwer ist. Es gibt aber whs keine öffentliche Library deren man sich gratis bedienen könnte...

Es geht nicht um Ahnung haben sondern darum dass diese Firmen ein kommerzielles Interesse verfolgen.