Continuiamo l’esplorazione di metodi di autenticazione alternativi al semplice login con user e password. Questa volta vediamo come OpenID possa essere combinato con il protocollo XMPP, cioè il protocollo utilizzato per Jabber e GTalk.

Il protocollo XMPP di base fornisce semplicemente un servizio che permette di sapere se un utente è online (la così detta presence), e di inviare/ricevere messaggi tra utenti, gli elementi base di ogni instant messenger come ICQ, MSN Messenger e tuti gli altri.

La base del protocollo è molto semplice e su di essa è possibile costruire servizi più avanzati aggiungendo dei “mattoncini” detti XMPP Extension focalizzati su problemi particolari.

Integrare OpenID con XMPP significa quindi solo implementare il mattoncino apposito, ovvero la proposta di Autenticazione XMPP per HTTP.

Supponiamo di esserci registrati presso un Relaying Party che supporti questo protocollo, come ad esempio The South African XMPP Federation OpenID Server. Al momento in cui effettuiamo il login, verrà generata una chiave unica, e il nostro relaying party ci contatterà via instant messenger chiedendoci di autenticarlo, e mostrandoci la chiave che abbiamo scelto per dimostrare che si tratta effettivamente di lui.

Se cerchiamo di effettuare il login su un sito abilitato ad openid, come ZoomR, saremo rediretti sul nostro relaying party, ma a questo punto non si pone il problema del phishing?

No, e qui sta il bello, perché non avremo nessuna password sul relaying party! Esso si limita a conoscere il nostro contatto, e il phishing diviene del tutto inefficace, perché non c’è nessuna password o informazione riservata che passi tra noi ed il relaying party.

Insomma, il protocollo sembrerebbe un’ottima idea, l’unico problema è che richiede l’interazione di tecnologie differenti, e potenzialmente di differenti programmi.

È A questo punto che fa comodo conoscere qualcuno che abbia scritto un client Jabber/gtalk come estensione per firefox. e suggerirgli che esiste questa possibile integrazione di openid con XMPP.. Poco dopo, vi trovate con questa estensione openid per firefox e flock che implementa la specifica di cui parlavamo prima.

Installando l’estensione, il login sul relaying party diviene quindi

• visita sito
• clicca il bottone per generare una chiave e poi il bottone “login”
• si apre una finestrella “autenticare X.com con la chiave ‘abcdefg’ ?”
• cliccare ok, se la chiave corrisponde

Semplicissimo, sicuro e veloce. L’unico relaying party a fornire questo servizio al momento è il già nominato South African XMPP Federation OpenID Server, che sembra funzionare bene (ma ha qualche tentennamento con Google Talk), e fornisce le funzionalità standard per essere utilizzato come delegate, cioè permettendo di usare un proprio dominio come url openid.