OpenId如何安全？

Question

我在另一個SO 線程中找到了這個：

腳步：

1. 用戶連接到啟用了OpenID的網站。
2. 用戶輸入憑據信息。
3. 使用BASE64（提供者的網站）進行POST
4. 建立答案（包含到期時間）
5. 該網站將用戶重定向到提供者進行登錄。
6. 用戶輸入密碼並提交。
7. 驗證完成。
8. 登錄！

如何保護步驟6-8？ 從我的角度來看，客戶端正在與提供者進行身份驗證，並將結果報告給我們的服務器。

是什么阻止客戶端偽造身份驗證結果？

Answer 1

首先，認證結果由提供者加密簽名。 還有其他安全措施可以防止其他攻擊。

引用OpenID 2.0規范，第11節 ：

當依賴方收到肯定的斷言時，它必須在接受斷言之前驗證以下內容：

• “ openid.return_to”的值與當前請求的URL匹配（ 第11.1節 ）
• 發現的信息與斷言中的信息匹配（ 第11.2節 ）
• 尚未從此OP接受具有與“ openid.response_nonce”相同的值的斷言（ 第11.3節 ）
• 斷言上的簽名有效，並且所有需要簽名的字段都已簽名（ 第11.4節 ）

客戶端當然可以發送偽造的身份驗證結果，但不會通過驗證。