OSCONで審問を受けたOpenID
Jason Levitt氏が司会を務めたこのパネルセッションでは、OpenIDのシングルサインオン・システムの理論、セキュリティモデル、実装、重要性が4人の講演者によって語られた。Simon Willison氏がシステムの全体像について述べ、VidoopのScott Kveton氏がセキュリティ、DiSoプロジェクトのChris Messina氏がソーシャルネットワーキングに与えうる影響についてそれぞれ解説、そしてYahoo!のメンバシップチームアーキテクトAllen Tom氏が同社での導入事例を紹介した。
セッションの前半を占めた各講演者のプレゼンテーションは、大部分が有益でためになる内容だった。彼らは、OpenIDの問題点も率直に語っていた。Kveton氏はプレゼンテーションの冒頭からOpenIDのユーザビリティの低さを認める発言をし、ほかの講演者も同様の考え方を表明した。特にKveton氏は、ユーザがWebブラウザのURLバーに注意を払うことはまれであり、そうした見過ごしによってOpenIDによる多段階の認証プロセスの途中でフィッシング詐欺にかかるおそれがある、と指摘した。
またTom氏は、Yahoo!が実施したユーザビリティ調査の結果に言及していた。その調査によれば、ユーザはOpenIDの動作に戸惑いを感じているという。ユーザはOpenIDプロバイダとOpenIDコンシューマの関係を理解しておらず、一方がサインアウトすれば双方がサインアウトする（実際はそうではない）と考えていたり、OpenIDを利用した今日のサイトによく見られるデュアルモードのログインページ（OpenIDとユーザ名/パスワードの両方のフィールドが表示される）に困惑したりしていたのだ。
会場からの質問
講演者の発言の大半が肯定的なものだったためか、質疑応答ではタイトルどおりの批判的な観点からの質問が会場から相次いだ。
Tom氏には、Yahoo!によるOpenIDのサポートに関する質問が数名から寄せられた。Yahoo! IDはほかのサイトでOpenIDクレデンシャルとして使えるのに、Yahoo!がほかのサイトからのOpenIDを受け付けていないのはなぜか、というものだった。Yahoo!はOpenIDプロトコルを評価しているが、現在のOpenIDプロバイダの多くはYahoo!の有料サービスへのアクセスを許可できるほどには信頼できない、というのがTom氏の回答だった。すると別の参加者から、それではOpenID全体の意味が失われる、ユーザは（パスワードを自由に選べるように、適切でないものも含めて）OpenIDプロバイダを自由に選べるべきだ、というコメントが出た。
これに対してWillison氏は、OpenIDを受け入れることの価値はYahoo!のような既存のプレイヤーよりも新しい小さなサイトのほうが大きい、それはOpenIDによって登録プロセスが簡略化されるからだ、と述べた。続いてMessina氏が、OpenIDは認証や信頼性を対象とはしておらず、耐性の高いオンラインアイデンティティに過ぎない、と補足する。またKveton氏によれば、OpenIDの今後のバージョンにはプロバイダからコンシューマに対するセキュリティ検証のメカニズムが含まれるという。
このパネルセッションでは、特にOpenIDへの対応を見送ったサイト所有者からのコメントが求められていた。PownceのLeah Culver氏は、OpenIDの当初のねらいはブログにコメントを残す際の登録の問題を解消することにあったはず、と言って会場に笑いと一瞬の拍手を引き起こした。それだけのために手間をかける意味があるのだろうか、と彼女は示唆する。「パスワードを覚えておくのって、本当にそんなに面倒なことかしら」
OpenIDが過剰に複雑なことはパネリスト側もよく承知しており、その点への実質的な批判はなかったが、そのことはOpenIDプロトコルに対する継続的な取り組みの原動力になっている。彼らによると、今後のそうした取り組みによって多くの人の懸念は解消されるだろうが、認識されている問題の一部は、OpenIDとユーザアカウントの関連付け、OpenIDの統合や破棄など、プロトコルの対象範囲外であって実装者に委ねられるタスクをうまく処理できる“ベストプラクティス”の欠如にあるという。Willison氏は、完全に匿名のOpenIDプロバイダの存在を示すことでそうした事実を説明していた。
別の参加者からは、もっと深刻な問題の指摘があった。OpenID認証プロセスの一部の説明に“マジック”という曖昧な表記を使っていたWillison氏のスライドに言及して、OpenIDのセキュリティモデルはセキュリティや暗号化の専門家によってきちんとレビューと調査が行われているのか、という質問だった。SSLのような確立され、入念に調査されたシステムでさえ新たな攻撃の脅威にさらされているというのに、どうしてそんなマジックを信用できようか、というのだ。
パネリストの何人かは、OpenIDは発展途上であって決して完全なセキュリティを提供するものではないと考えるべきだが、エクスプロイトに関しては積極的なメンテナンスと監視が必要だと主張した。またTom氏は、Yahoo!のエンジニアリングチームがOpenIDを調査したところ、少なくとも同社の独自認証システムと同等のレベルにあることがわかった、と述べたうえで「暗号法はロケット工学ほど完成されてはいない」と付け加えた。
OpenID URLのドメイン乗っ取り、プライバシー、単一障害点といった問題についての質問もあった。また、パネリストから具体的な回答が示された話題もあれば、そうでないものもあった。途中、Tom氏はOpenIDを“基本的に、電子メールによってパスワードを再設定する便利な方法”だと発言していた。また、私が興味深いと思ったのは、パネリストの皆さんは何種類のOpenIDを持っていますか、という最後のほうに出た質問だ。答えは「4つか5つ」、「6つ」、「7つか8つ」といったものだった。
とにかく楽しいセッションだった。結局、Culver氏も本気で論戦を挑むことはなかった。そのような激しい質疑応答が期待できるパネルだという触れ込みで、しかもKveton氏の最初の一言は「私はOpenIDに入れ込んでいる。だが、こいつは最低なやつだ」と挑発的なものだったのだが。
OpenIDについては多くの誤解がある。発案者側に原因のあるものもあれば、アイデンティティ、認証、セキュリティの区別をおしなべて曖昧にしている実世界の実装に起因したものもある。実際のところ、OpenIDはアイデンティティしか定義していないのだが、シングルサインオン・ソリューションの導入には残る2つも必要になる。そのことを普通のWebユーザにわかってもらうのはなかなか難しい。
結局、このセッションは本当の支持者にとってOpenIDに関する疑念を晴らす場にも、逆に疑念を抱かせる場にもならなかった。とはいえ、疑問や批判、回答、解決策がオープンにやりとりされる状況を目にするのは新鮮だった。
