Podcast Z

Podcast Z #10: Persona

Listen Later
Autenticación web global y abierta. Descentralizada y privada https://podcast.jcea.es/podcastz/10

Notas:

  • 00:40: Persona es la alternativa Mozilla a "Single Sign On" propietarios.

  • 01:40: Manejar la complejidad de mantener claves diferentes en varios sitios.

  • 02:50: ¿Qué es Persona?: Privacidad, descentralizado, no depender de un proveedor.

  • 07:10: El problema del huevo y la gallina. Ahora mismo Persona es muy centralizado, riesgo de hacking y
    • dependencia de Mozilla.

  • 08:50: ¿Cómo funciona? Se certifica la propiedad del un correo electrónico.

  • 10:30: ¿Qué pinta el correo en todo esto?

  • 13:00: Cuando tu proveedor de correo no es un proveedor de identidad de Persona, entonces la certificación
    • se centraliza en Mozilla.

  • 14:30: Persona es un protocolo descentralizado que ahora mismo depende de Mozilla. A medida que el protocolo
    • tenga éxito, se irá haciendo más y más descentralizado.

  • 16:10: ¿Cómo gestiona tu identidad tu proveedor de identidad?

  • 19:00: ¿Cómo funciona a nivel técnico?. El workflow.

  • 23:50: Privacidad respecto a tu proveedor de identidad. Tu proveedor de identidad no sabe qué webs visitas.

  • 25:00: ¿Cómo valida tu identidad el verificador?

  • 28:30: Te autentifico sin que ni siquiera tengas una cuenta en mi servicio. Por ejemplo, un blog o un foro.
    • No necesito darme de alta.

  • 32:30: Persona hace posible que no tengas que almacenar claves en el servidor. Podrías no tener, siquiera,
    • una base de datos de usuarios.

  • 33:30: Pegas de Persona: Hay pocos proveedores de identidad, así que el sistema se acaba centralizando en Mozilla.

  • 34:30: Descripción técnica del "fallback" a Mozilla.

  • 36:00: Mientras Persona no triunfe, se depende de Mozilla.

  • 38:00: Mozilla permite autentificarte en Persona con autenticaciones OAuth: por ejemplo, Facebook, Google, Yahoo,
    • Twitter, etc. Esto permite no tener una clave adicional, y te proporciona privacidad respecto a tu proveedor de Identidad.
    Y mantiene la identidad para el usuario.

  • 42:00: Correlación entre logins y accesos Persona. ¿No se puede identificar a los usuarios?.
    • Se puede evitar cacheando claves públicas de los proveedores de identidad (y con refrescos proactivos), o usando a Mozilla
    de intermediario.

  • 45:00: ¿Podría otro proveedor ser un proveedor de identidad secundario?. No, aunque el protocolo
    • permite delegaciones. Varios dominios pueden delegar su autenticación en otro servidor. Útil para empresas con varios dominios,
    pero bajo el mismo control administrativo.

  • 48:30: ¡Pero es que no quiero depender de Mozilla!. No se puede. Se siente. La única solución es que Persona
    • se popularice, haya más proveedores de identidad y depender menos de Mozilla. A medida que el protocolo se populariza,
    el peso de Mozilla baja. Al contrario que los demás sistemas SSO (Single Sign On).

  • 51:00: Pero a Google o a Facebook no les interesa ser proveedores de identidad, porque su negocio es
    • precisamente conocer los hábitos de navegación de sus usuarios, porque se financian vendiendo esa información a las
    agencias publicitarias.

  • 52:30: Opinión personal sobre el futuro de Persona.

  • 56:50: ¿Qué tiene que hacer una página web para permitir que los usuarios accedan con Persona?.
    • Es MUY fácil, y no requiere instalar nada en el servidor.

  • 59:00: La idea de Mozilla es que una versión futura de Firefox incluya soporte Persona nativo.
    • Más rápido y más seguro. Para los navegadores que no incluyan la funcionalidad, usarán un javascript externo, como ahora mismo.

  • 01:00:00: Un desarrollador web solo necesita incluir un javascript que proporciona Mozilla. Si no quiere
    • complicarse la vida, incluso puede delegar la verificación en Mozilla. Una implementación sencilla no requiere instalar NADA
    en el servidor.

  • 01:03:30: Mozilla se ha preocupado mucho de que el usuario, el proveedor de identidad y el verificador
    • trabajen lo menos posible. Que tengan que hacer lo mínimo posible. Que la barrera de entrada sea muy baja.

  • 01:05:10: Recapitulación de Pablo: facilidad para el usuario, privacidad para el usuario, descentralización y
    • facilidad para los verificadores.

  • 01:06:00: Aunque los proveedores grandes no colaboren, podremos hacer login con los botones de login
    • tradicionales (Google, Facebook, etc).

  • 01:07:00: La conversión a proveedor de identidad se realiza dominio a dominio. No hace falta un consenso global.
    • Una organización puede usar el protocolo Persona para ser proveedor de identidad y verificador. No depende de nadie,
    ni siquiera de Mozilla.

  • 01:08:30: El protocolo sigue evolucionando. Conviene depender de Mozilla, para no sufrir las actualizaciones.

  • 01:10:10: ¡¡¡CORTE!!!

  • 01:10:11: Resumen.

  • 01:13:00: Despedida.

  • 01:13:48: Apéndice: Donación bitcoin y publicación de audios en OPUS.
    • ...more
    View all episodesView all episodes
    Download on the App Store
    Podcast ZBy Jesús Cea & Pablo Lobariñas