
<HTML><BODY style="word-wrap: break-word; -khtml-nbsp-mode: space; -khtml-line-break: after-white-space; ">I continue to believe that we need single-sign-out functionality, in particular once OpenID moves up the stack for higher-value transactions.<DIV><BR class="khtml-block-placeholder"></DIV><DIV>Some people have made the case that that is undesirable and/or impossible; I beg to differ.</DIV><DIV><BR class="khtml-block-placeholder"></DIV><DIV>Having automatic authentication against the IdP is quite similar to not having a password on the identity at all, in that it reduces the confidence that we know the real-world identity of the entity/user at the other end. In my view, there's nothing wrong with that, but we do need to be able to convey that to relying parties in a way that cannot be easily attacked.</DIV><DIV><BR class="khtml-block-placeholder"></DIV><DIV><BR class="khtml-block-placeholder"></DIV><DIV><BR><DIV><DIV>On Nov 6, 2006, at 16:41, Joshua Viney wrote:</DIV><BR class="Apple-interchange-newline"><BLOCKQUOTE type="cite">One question re: User Experience and single-sign-on comes to mind:<DIV><BR class="khtml-block-placeholder"></DIV><DIV>How do we treat users who are accessing their IdP and Relying Parties via public computers?</DIV><DIV><BR class="khtml-block-placeholder"></DIV><DIV>Use Case:</DIV><DIV>Good User at public library wants to leave a comment on Blog X</DIV><DIV>Blog X requires the person to authenticate via OpenID</DIV><DIV>Good User enters their OpenID and successfully authenticates via email and password (or whatever) (and authorizes the RP ('realm' in 2.0) if necessary) at their IdP</DIV><DIV>Good User is redirected to Blog X signed in</DIV><DIV>Good User leaves comment</DIV><DIV>Good User signs out of Blog X (if sign out is even an option)</DIV><DIV>Good User then leaves the public library and goes shopping</DIV><DIV>Evil User jumps on computer and proceeds to leave comments at any number of OpenID enabled blogs using Good User's OpenID (he saw it while looking over Good User's shoulder, or he checks any sites that Good User did NOT sign out of that might display his OpenID)</DIV><DIV>Evil User, uses Good User's signed in IdP session to sign into any number of sites, etc</DIV><DIV><BR class="khtml-block-placeholder"></DIV><DIV>Outcome: Good User's reputation is ruined and his/her OpenID is banned from a whole list of Relying Parties. Good User then blames their IdP, the Relying Parties and OpenID as a technology and tells everyone he/she knows not to use it blogs about it and initiates a press release.</DIV><DIV><BR class="khtml-block-placeholder"></DIV><DIV>It may be easy to pass this off as an implementation specific issue or as "user error", but this use case is somewhat likely for 2 reasons:</DIV><DIV><BR class="khtml-block-placeholder"></DIV><DIV>1. A user's OpenID URI is not necessarily a private thing (obscurity is not security anyway)</DIV><DIV>2. Users will be at least 1 site removed from their IdP while accessing a Relying Party, and no one is use to signing out twice</DIV><DIV>3. It is very very likely that IdP's will use some type of "remember me" functionality</DIV><DIV><BR class="khtml-block-placeholder"></DIV><DIV>One solution to consider would be a global sign-out feature on relying party sites that signs users out of their IdP as well. Another solution would be to make very specific recommendations about messaging users who may be using public computers.</DIV><DIV><BR class="khtml-block-placeholder"></DIV><DIV><BR class="khtml-block-placeholder"></DIV><DIV><BR class="khtml-block-placeholder"></DIV><DIV><DIV> <SPAN class="Apple-style-span" style="border-collapse: separate; border-spacing: 0px 0px; color: rgb(0, 0, 0); font-family: Helvetica; font-size: 12px; font-style: normal; font-variant: normal; font-weight: normal; letter-spacing: normal; line-height: normal; text-align: auto; -khtml-text-decorations-in-effect: none; text-indent: 0px; -apple-text-size-adjust: auto; text-transform: none; orphans: 2; white-space: normal; widows: 2; word-spacing: 0px; "><SPAN class="Apple-style-span" style="border-collapse: separate; border-spacing: 0px 0px; color: rgb(0, 0, 0); font-family: Helvetica; font-size: 12px; font-style: normal; font-variant: normal; font-weight: normal; letter-spacing: normal; line-height: normal; text-align: auto; -khtml-text-decorations-in-effect: none; text-indent: 0px; -apple-text-size-adjust: auto; text-transform: none; orphans: 2; white-space: normal; widows: 2; word-spacing: 0px; "><DIV>Josh Viney</DIV><DIV style="margin-top: 0px; margin-right: 0px; margin-bottom: 0px; margin-left: 0px; "><A href="http://www.eastmedia.com/"><SPAN class="Apple-style-span" style="color: rgb(0, 0, 238); -khtml-text-decorations-in-effect: underline; ">http://www.eastmedia.com</SPAN></A><SPAN class="Apple-converted-space"> </SPAN>-- EastMedia</DIV><DIV style="margin-top: 0px; margin-right: 0px; margin-bottom: 0px; margin-left: 0px; "><A href="http://identity.eastmedia.com/"><SPAN class="Apple-style-span" style="color: rgb(0, 0, 238); -khtml-text-decorations-in-effect: underline; "><SPAN class="Apple-style-span" style="color: rgb(0, 0, 238); -khtml-text-decorations-in-effect: underline; ">http://identity.eastmedia.com</SPAN></SPAN></A><SPAN class="Apple-converted-space"> </SPAN>-- OpenID, Identity 2.0</DIV><DIV><BR class="khtml-block-placeholder"></DIV><DIV><BR class="khtml-block-placeholder"></DIV><BR class="Apple-interchange-newline"></SPAN></SPAN> </DIV><BR></DIV><DIV style="margin-top: 0px; margin-right: 0px; margin-bottom: 0px; margin-left: 0px; ">_______________________________________________</DIV><DIV style="margin-top: 0px; margin-right: 0px; margin-bottom: 0px; margin-left: 0px; ">user-experience mailing list</DIV><DIV style="margin-top: 0px; margin-right: 0px; margin-bottom: 0px; margin-left: 0px; "><A href="mailto:user-experience@openid.net">user-experience@openid.net</A></DIV><DIV style="margin-top: 0px; margin-right: 0px; margin-bottom: 0px; margin-left: 0px; "><A href="http://openid.net/mailman/listinfo/user-experience">http://openid.net/mailman/listinfo/user-experience</A></DIV> </BLOCKQUOTE></DIV><BR></DIV></BODY></HTML>