BrowserID 安全吗？

Question

昨天，Mozilla announcedBrowserID authentication system，基于Verified Email Protocol。它看起来很漂亮，但它安全吗？

立即想到的一个问题是，似乎任何可以访问我的浏览器的人都可以以我的身份登录。这也是在浏览器中存储凭据的问题，除了我可以逐个站点做出决定。 BrowserID 是全有还是全无？

还有其他潜在的安全漏洞吗？

Answer 1

这不是您问题的直接答案，但“安全”堆栈交换站点中有线程，讨论大致相同

https://security.stackexchange.com/questions/5323/what-are-the-downsides-of-browserid-compared-to-openid-oauth-facebook

Answer 2

我最终找到了 Daniel 对 BrowserId/Persona and WebID 的第三次问答做出的贡献。我发现这个答案最有帮助。 （我试图说服他在这里发帖，但他建议我这样做。）

---

Security, Privacy and Usability Requirements for Federated Identity Michael Hackett 和 Kirstie Hawkey 提供了 WebID 和 Mozilla Persona（当时仍称为 BrowserID）之间的比较。

注意到的主要区别（在表 1 中）是：

• 角色密钥是短暂的，应使用密码进行保护。 WebID 密钥的寿命很长，但可以很容易地从受密码保护的配置文件中禁用。
• 当前的 Persona 实现使用标准浏览器窗口，因此很难发现欺骗（一旦浏览器获得本机 Persona 支持，这可能会改变）。 WebID 使用浏览器本机证书选择 UI，因此没有网络钓鱼的机会。
• 如果失去对所有者电子邮件/URI 的控制权，则 Persona 和 WebID 身份都可能受到损害。
• Persona IdP 不了解使用身份的 SP。 WebID IdP 了解每个使用身份的 SP。
• 如果 Persona SP 缓存了 IdP 的公钥，并且浏览器仍然有有效的证书，那么它应该仍然可以验证身份。 WebID 配置文件必须是可访问的，否则身份将无法使用。
• Persona 具有良好的 UX 设计，而 WebID 则相反。

我建议阅读该论文以了解更多详细信息。它可在线免费获取，无需访问数字图书馆。