Podcast Z #10: Persona

Podcast Z

Autenticación web global y abierta. Descentralizada y privada https://podcast.jcea.es/podcastz/10

Notas:

• 00:40: Persona es la alternativa Mozilla a "Single Sign On" propietarios.

• 01:40: Manejar la complejidad de mantener claves diferentes en varios sitios.

• 02:50: ¿Qué es Persona?: Privacidad, descentralizado, no depender de un proveedor.

• 07:10: El problema del huevo y la gallina. Ahora mismo Persona es muy centralizado, riesgo de hacking y dependencia de Mozilla.

• 08:50: ¿Cómo funciona? Se certifica la propiedad del un correo electrónico.

• 10:30: ¿Qué pinta el correo en todo esto?

• 13:00: Cuando tu proveedor de correo no es un proveedor de identidad de Persona, entonces la certificación se centraliza en Mozilla.

• 14:30: Persona es un protocolo descentralizado que ahora mismo depende de Mozilla. A medida que el protocolo tenga éxito, se irá haciendo más y más descentralizado.

• 16:10: ¿Cómo gestiona tu identidad tu proveedor de identidad?

• 19:00: ¿Cómo funciona a nivel técnico?. El workflow.

• 23:50: Privacidad respecto a tu proveedor de identidad. Tu proveedor de identidad no sabe qué webs visitas.

• 25:00: ¿Cómo valida tu identidad el verificador?

• 28:30: Te autentifico sin que ni siquiera tengas una cuenta en mi servicio. Por ejemplo, un blog o un foro. No necesito darme de alta.

• 32:30: Persona hace posible que no tengas que almacenar claves en el servidor. Podrías no tener, siquiera, una base de datos de usuarios.

• 33:30: Pegas de Persona: Hay pocos proveedores de identidad, así que el sistema se acaba centralizando en Mozilla.

• 34:30: Descripción técnica del "fallback" a Mozilla.

• 36:00: Mientras Persona no triunfe, se depende de Mozilla.

• 38:00: Mozilla permite autentificarte en Persona con autenticaciones OAuth: por ejemplo, Facebook, Google, Yahoo, Twitter, etc. Esto permite no tener una clave adicional, y te proporciona privacidad respecto a tu proveedor de Identidad. Y mantiene la identidad para el usuario.

• 42:00: Correlación entre logins y accesos Persona. ¿No se puede identificar a los usuarios?. Se puede evitar cacheando claves públicas de los proveedores de identidad (y con refrescos proactivos), o usando a Mozilla de intermediario.

• 45:00: ¿Podría otro proveedor ser un proveedor de identidad secundario?. No, aunque el protocolo permite delegaciones. Varios dominios pueden delegar su autenticación en otro servidor. Útil para empresas con varios dominios, pero bajo el mismo control administrativo.

• 48:30: ¡Pero es que no quiero depender de Mozilla!. No se puede. Se siente. La única solución es que Persona se popularice, haya más proveedores de identidad y depender menos de Mozilla. A medida que el protocolo se populariza, el peso de Mozilla baja. Al contrario que los demás sistemas SSO (Single Sign On).

• 51:00: Pero a Google o a Facebook no les interesa ser proveedores de identidad, porque su negocio es precisamente conocer los hábitos de navegación de sus usuarios, porque se financian vendiendo esa información a las agencias publicitarias.

• 52:30: Opinión personal sobre el futuro de Persona.

• 56:50: ¿Qué tiene que hacer una página web para permitir que los usuarios accedan con Persona?. Es MUY fácil, y no requiere instalar nada en el servidor.

• 59:00: La idea de Mozilla es que una versión futura de Firefox incluya soporte Persona nativo. Más rápido y más seguro. Para los navegadores que no incluyan la funcionalidad, usarán un javascript externo, como ahora mismo.

• 01:00:00: Un desarrollador web solo necesita incluir un javascript que proporciona Mozilla. Si no quiere complicarse la vida, incluso puede delegar la verificación en Mozilla. Una implementación sencilla no requiere instalar NADA en el servidor.

• 01:03:30: Mozilla se ha preocupado mucho de que el usuario, el proveedor de identidad y el verificador trabajen lo menos posible. Que tengan que hacer lo mínimo posible. Que la barrera de entrada sea muy baja.

• 01:05:10: Recapitulación de Pablo: facilidad para el usuario, privacidad para el usuario, descentralización y facilidad para los verificadores.

• 01:06:00: Aunque los proveedores grandes no colaboren, podremos hacer login con los botones de login tradicionales (Google, Facebook, etc).

• 01:07:00: La conversión a proveedor de identidad se realiza dominio a dominio. No hace falta un consenso global. Una organización puede usar el protocolo Persona para ser proveedor de identidad y verificador. No depende de nadie, ni siquiera de Mozilla.

• 01:08:30: El protocolo sigue evolucionando. Conviene depender de Mozilla, para no sufrir las actualizaciones.

• 01:10:10: ¡¡¡CORTE!!!

• 01:10:11: Resumen.

• 01:13:00: Despedida.

• 01:13:48: Apéndice: Donación bitcoin y publicación de audios en OPUS.