Generell müsste man den Dialog zur Eingabe des Passwortes ja nur nachbilden. Dann sollte es auch ohne Browser klappen.
Damit werden natürlich alle
Sicherheitsvorteile unterlaufen, die eine browserbasierte Anmeldung mit OpenID hat:
Zitat:
Für den Nutzer ist es jedoch durch die OpenID-Architektur einfacher, eine Login-Seite auf Echtheit zu überprüfen, da er sich die sicherheitsrelevanten Merkmale nur einer einzigen Login-Seite merken muss, statt von mehreren, wie es ohne Single Sign-on der Fall ist. Die OpenID-Provider sorgen ebenfalls für mehr Sicherheit, indem sie etwa Cookies setzen, ein individuelles Bild zeigen, den HTTP-Referer mit der
IP des Requesters vergleichen oder indem sie ein clientseitiges TLS-Zertifikat zur Authentifizierung nutzen. Insbesondere letzteres wird von immer mehr Providern unterstützt.
Natürlich kann man durch eine Bildschirmmeldung darauf hinweisen dass die eingegebenen Anmeldedaten ausschliesslich dazu verwendet werden, die Anwendung gegenüber dem Zieldienst (zum Beispiel Google Calendar) zu authentifzieren.
Aber nachprüfen kann man das als Anwender nicht, wogegen die browserbasierte Anmeldung wie im Demo von sync-components viel weniger Möglichkeiten eines Passwortklaus bietet.
Nachtrag: eine schematische Darstellung wie eine OpenID anmeldung funktioniert ist hier
How Does OpenID Work?
Nachdem man sich einmal angemeldet hat, braucht man für andere Consumer keine Anmeldung mehr, auch nicht wenn man den Browser schliesst oder den Rechner neu startet.
Auch im Demo von sync-components wird man nicht mehr auf die Loginseite des OpenID-Providers weitergeleitet, wenn man sich zuvor im normalen Browser (!) per OpenID angemeldet hat - sondern nur auf das "trust form", und auch das nur einmalig bzw. bis man die RefreshToken.ini löscht.
(p.s. habe gerade bemerkt dass es in diesem Thema nicht um OpenID sondern OAuth 2.0 geht ... knapp vorbei ist auch daneben
