GINZA TECH LOUNGE feat. OpenID - Do You PHP はてブロ

昨日リクルートさんで行われたGINZA TECH LOUNGE feat. OpenIDに参加してきました。

正直、ネット上の記事を読んで概要をつかんでるとか簡単なサンプルを動作させたぐらいのレベルでOpenID系勉強会/セミナーに初参加でした。。。とりあえず、基本的なキーワードは押さえていたつもりだったので、

というのが見えた気がします。面白かったです。

とりあえず、半リアルタイムでメモったものを。。。あ。まちゅさんがGINZA TECH LOUNGE feat. OpenID - まちゅダイアリー(2008-09-10)でエントリしてますね。。。気が引けますが、一応晒しておきますｗ

2008/01/30リリース
OpenID 2.0
OP対応
- ID発行・ID認証・ドキュメントぐらい
発行フロー
- 1Yahoo!IDにつき1ID
- ユーザーによる発行処理が必要
認証フロー
- OpenID入力
- Discovery
- アソシエーションの確立
- 認証要求をOPへ送信
  - checkid_immediateモードはセキュリティポリシー上非対応
- Discovery on the RP
- id/password入力
- ID再利用問題への対策
  - 認証応答をRPへ送信-claimed_idパラメータにはフラグメントを追加
  - https://me.yahoo.co.jp/xxxx#[flagment]
- Discovery
- 署名の検証
苦労した点
- テスト用RPの準備
- セキュリティ対策
  - return_toのチェックについて「あんしんネット」で利用しているブラックリストを利用
  - ログインシール・ログイン履歴の普及・啓蒙
セキュリティ対策
- フィッシング対策
  - ユーザーがOPの認証画面の正当性を判断できる機能が必要
  - ログインシール・ログイン履歴
開発者向けドキュメント：http://developer.yahoo.co.jp/openid/

対応RP数が多いな
ID数：1500万
OPの比較：対応バージョンとか
リンク先：ユーザーページ
- そもそもOpenIDの役割：SSO、「アイデンティティ」の証明
Identifierを変更可能(プレミアム会員向け。1回だけ)
- 現在、競争率低めｗｗ
OpenID属性交換(AX)
- 今はニックネームのみ
マイミク認証の標準化を準備している
mixi認証は年齢認証(18歳以上)としても使えるよね？
セキュリティ対策
- OP Endpoint、Identifier/OP IdentifierをSSL/TLSで提供
- 啓蒙活動重要
- 監査ログ
今後の展開
- マイミクのマイミク認証
- AXの拡充
- 続きはmixi Developer Centerで
Q.実装は容易いのですが、これまで培ってきた会員登録系への棲み分けに対するウマい殺し文句があれば知りたいです
- 小山さん@mixiの解説
- 既存の会員登録系との平行運転はできる
- マイミクによるバイラルマーケティング強度がポイント

RPの実例としてのATND
ATNDのデモ
- イベント作成
- アンケートフォーム追加
  - 主催者用のメニューあり
- 補欠登録機能あり。これいいな。
実装
- RoR、ruby-openid、open_id_authenticationなど
ユーザー名をどう決めさせるか
- sregまたはsreg.nickname
- Identity URLそのままは使いにくい
- RPにおいてユーザー名のunique性を持たせた場合
  - iknow!が良い例
OpenIDをどう理解させるか
- 「RSSのアイコン」と同じ。「いかに感じさせないか」
- idselector.com(OPをsuggest)
- RPが増えていく中で、ベストプラクティスが見つかるのではないか

ListPod(ゆーすけべーさん)
- YouTube＋iTunesでpodcast
- Perl
- 携帯には不向き
- サービスの規模にOpenIDがマッチした

FlipClip(堀内さん)
- 既存アカウントデータとOpenIDの紐付け
  - 「OpenID認証→FlipClip IDでのログイン」というフロー
  - この方法だと比較的楽だと思う
- Perl

okyuu.com(藤原さん＠カカクコム)
- ソーシャルITメディア
- OpenID1.1の場合IdPをプルダウンで選択させ、IDの部分のみ入力させる
- Sxipper対応はUIで対応