SAML, OpenID, 双方向信頼関係 - snippets from shinichitomita’s journal

SAMLからは離れて久しいのだけれども、ちょっと自分の認識が合っているのかどうかが気になったので。 結局のところどうやって OpenID を使うかは, トランザクションに関与する主体のうち, だれが相対的に高いリスクを負うのかで決まる. たとえば 「橋の押し売り」 のケースであれば, おカネを払うことで本当に橋の所有権が得られるのか怪しいから, 買い手 (relying party) はいろいろな方法で “ACME bridge verification” の評判 (リピュテーション) を確認したり, あらかじめ信頼できる 「橋確認業者」 を勝手に自分の電話帳に書いておく (ホワイトリスト) ことになる. （中略） はてさて, OpenID は今後, 前者のような 「relying party 側が高いリスクを負うトランザクション」 の基盤に組み込めるようになるんだろうか!? まあやってで

[kmachu]

id:kazuhooku delegate後のDH鍵共有の時に信頼しないRPを拒否すればいいと思います。Mixiはたぶんそうしているかと。個人的にはRPの信頼度はIdPが決めるよりもユーザが決めるほうが面白そう。

[kazuhooku]

同感。OpenIDでIdPによるRPの限定はできるんだろうか(delegateの絡みとかがわかんない)