Shade,<div><br></div><div>I don&#39;t understand how you can use an OP to log into an RP without the OP being aware that it&#39;s sending that assertion.  If one can assume the asserting OP knows which RP it&#39;s going to (which it must IMO) then the RP ought to be able to send a message to the OP (via an iframe in the RP site directing the user to an openid single-log-out endpoint) so the OP can send various iframes to log the user out of each RP that that same OP has logged the user into.</div>

<div><br clear="all">--<br>Andrew Arnott<br>&quot;I [may] not agree with what you have to say, but I&#39;ll defend to the death your right to say it.&quot; - S. G. Tallentyre<br>
<br><br><div class="gmail_quote">On Wed, Sep 30, 2009 at 8:53 AM, SitG Admin <span dir="ltr">&lt;<a href="mailto:sysadmin@shadowsinthegarden.com">sysadmin@shadowsinthegarden.com</a>&gt;</span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex;">

What worries me in general about single-logout is that the user may have multiple OP&#39;s with which they&#39;re signed in to a given RP, and not want to have any party *except for that RP* aware that these OP&#39;s (or the URI&#39;s they vouch for) are associated.<div class="im">

<br>
<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
The OP sending an iframe that logs the user agent out of all the RPs sounds cool, and simpler than the OAuth idea.<br>
</blockquote>
<br></div>
Better have some code in that iframe to detect if the user can&#39;t currently connect to a RP for logout, and either keep trying or present an error announcing that it couldn&#39;t be done.<br>
<br>
Using just a single OAuth SP minimizes this risk, but what if you *still* can&#39;t connect? Ask the RP&#39;s to send an occasional &quot;keep-alive&quot; ping to the SP (via the user) so it can have the authentication time out? That&#39;s a lot of pings if the user is hopping around multiple sites, none of which knows that the user was recently active on another. It&#39;s also &quot;hand-holding&quot;, and imperils the user&#39;s session with RP&#39;s if the OAuth SP ever experiences downtime :(<br>


<br>
-Shade<br>
</blockquote></div><br></div>