OpenID 2 / La sicurezza di OpenID

Qualche giorno fa, vi ho brevemente introdotto al mondo di OpenID, il modo innovativo per accedere ai propri servizi online senza aver bisogno di ricordare tante, troppe username e password.
Il sistema è piuttosto interessante e comodo, e vale tanto di più grazie al fatto che è una proposta che è non è nata da grandi compagnie o da interessi particolari, e che solo recentemente ha iniziato a riscuotere l’attenzione dei grandi nomi, che lo stanno integrando nei propri prodotti (Google l’ha integrato in Blogger, giusto per fare un nome.)
Bello bello, ma c’è qualche aspetto riguardo alla sicurezza che va tenuto a mente, visto a maggior ragione che si mette il proprio nome utente e password in giro per la rete. Vediamo un po’.

Uno scenario catastrofico

Quello che segue è uno scenario «catastrofico». Un brutto giorno, utilizzi il tuo OpenID su un sito «cattivo» (ma tu non lo sai), per accedere a qualche tipo di contenuto o anche solo per lasciare un commento ad un post. Il sito cattivo, anziché indirizzarti alla pagina del tuo servizio OpenID, ti mostra una falsa pagina di login – magari al 100% uguale a quella che ti aspetteresti – per cui tu inserisci i dati di accesso al tuo account OpenID fiducioso che tutto sia ok. In realtà, come dicevo prima, la pagina che stai usando è falsa, è stata creata ad arte, ed hai appena dato le tue credenziali di accesso non al sito che legittimamente avrebbe dovuto riceverle, bensì ad un malfattore che potrà sfruttarle per i suoi loschi piani!
È un attacco analogo al cosiddetto phishing che tanto imperversa via email negli ultimi tempi, solo che non si presenta come una mail piena zeppa di errori di ortografia, bensì come il risultato di una tua operazione ben precisa, su cui credi di avere il controllo.

Come proteggersi?

Per prima cosa, al momento di dover inserire nome utente e password per accedere al proprio account OpenID, è bene controllare di essere sul sito giusto: che l’indirizzo a cui punta il browser sia esattamente quello che hai indicato tu, che la connessione sia protetta (colore blu in Firefox 3), e che, meglio, il sito sia autenticato (colore verde).

Questa però non è sempre una garanzia sufficiente. Ecco quindi che alcune aziende si sono inventati strumenti nuovi.

Yahoo! seals

Il servizio OpenID di Yahoo! ha introdotto l’uso di un «Sigillo di sicurezza», che compare soltanto quando si visita una pagina di login vera di Yahoo, e non contraffatta. Nell’immagine qui accanto, un esempio di sigillo (l’ho già cambiato, quindi non provateci con me). Questo sistema è utile, ma ha due limitazioni: funziona solo sul computer e sul browser dove viene attivato, ed è dipendente dai cookies del programma di navigazione, con tutto quello che ciò comporta.

Prima accedi ad OpenID, poi lo usi

Un sistema di sicurezza per OpenID abbastanza utilizzato, è quello che richiede di fare login al proprio account OpenID prima di poter utilizzare OpenID sui siti che lo supportano. Questo significa che se vi viene presentata una pagina di login quando fate uso di OpenID, si tratta certamente di una pagina contraffatta! Il principale difetto di questo metodo è che l’utente deve essere a conoscenza della cosa, e riconoscere che una pagina che gli chiede nuovamente di accedere ad OpenID non è legittima.

SeatBelt

Si tratta di un’estensione sviluppata da VeriSign per Firefox (compatibile anche con la versione 3.0), che si piazza in un angolino del browser, e si cura di indirizzarti verso la pagina di login OpenID reale.
Di base è configurata per funzionare con il provider OpenID di VeriSign, ma può essere configurata con qualsiasi servizio OpenID aderente agli standard.

Quando SeatBelt riconosce un campo di autenticazione OpenID su un sito, mostra la finestra che si vede sopra, e vi traghetta alla corretta pagina di login.
In ogni caso, quando si viene indirizzati alla pagina di accesso di OpenID, l’icona di SeatBelt presente nella barra di Firefox si colora di verde per indicare che si stanno immettendo i dati di accesso al sito reale, e non ad una copia realizzata per rubarvi la password.

SeatBelt supporta anche il meccanismo della delegation, che abbiamo visto nella scorsa «puntata», e si può scaricare qui, gratuitamente.

Concludo così con queste note sulla sicurezza di OpenID, la breve carrellata su questo servizio, di cui mi è venuto spontaneo parlarvi dopo averlo utilizzato per un po’.
Spero di non aver scritto cavolate e di esservi stato in qualche modo utile. Se avete domande e/o commenti, servitevi pure qui sotto.

Stampami! Se desideri scaricare e stampare questa breve guida, in una versione più completa e con più immagini esemplificative, visita questa pagina.