Websites that need to identify their users commonly use one of two methods: a username & password scheme that's hard to secure and creates a lot of pain for users, or a centralized proprietary service on which many of their users already have accounts. There must a better way. A cross-browser solution for authenticating users which feels like the Web and preserves the decentralized architecture necessary for an open network. We present Mozilla Persona. Video recording: http://hemingway.softwarelivre.org/fisl14/high/41a/sala41a-high-201307051001.ogg

1. François Marier – @fmarier
login de usuários:
podemos fazer algo
melhor que usar senhas
ou serviços centralizados?

2. senhas

3. problema #1:
senhas são difíceis de proteger

14. bcrypt / scrypt / pbkdf2
per-user salt
site secret
password & lockout policies
secure recovery

15. bcrypt / scrypt / pbkdf2
salt por usuário
site secret
password & lockout policies
secure recovery

16. bcrypt / scrypt / pbkdf2
salt por usuário
segredo de site
password & lockout policies
secure recovery

17. bcrypt / scrypt / pbkdf2
salt por usuário
segredo de site
políticas de senha e bloqueio
secure recovery

18. bcrypt / scrypt / pbkdf2
salt por usuário
segredo de site
políticas de senha e bloqueio
recuperação segura

19. bcrypt / scrypt / pbkdf2
salt por usuário
segredo de site
políticas de senha e bloqueio
recuperação segura
recomendações
recomendações
de senha para
de senha para
2013
2013

20. senhas são difíceis de protoger
elas são um encargo

21. ALTER TABLE user
DROP COLUMN password;

22. problema #2:
senhas são difíceis de lembrar

24. agenda de contas e senhas de internet

25. escolha uma senha fácil

26. escolha uma senha fácil
e use ela em todos os lugares

27. senhas são difíceis de lembrar
elas precisam ser redefinidas

29. controla
conta
e-mail
controla
todas
as contas
=

31. “People want a little
dating before marriage.”
Eric Vishria – Rockmelt

33. descentralizado

34. myid.com/u/francois

37. privacidade®

38. sistemas de login existentes
não são bons o suficiente

39. sistema ideal de autenticação para a web

40. sistema ideal de autenticação para a web
●
descentralizado
simples
para todos os navegadores

41. sistema ideal de autenticação para a web
●
descentralizado
●
simples
para todos os navegadores

42. ●
descentralizado
●
simples
●
para todos os navegadores
sistema ideal de autenticação para a web

43. ●
descentralizado
●
simples
●
para todos os navegadores

44. como isso funciona?

45. fmarier@gmail.com

46. obtendo a prova de propriedade de um e-mail

47. autenticar?

48. autenticar?
chave pública

49. autenticar?
chave pública assinada
chave pública

50. você tem uma atestado assinado pelo
seu provedor de e-mail que
você é o dono daquele endereço

52. logando em um site de terceiros

53. Válido por: 2 minutos
wikipedia.org
assertion

54. Válido por: 2 minutos
wikipedia.org
verificar audience
assertion

55. Válido por: 2 minutos
wikipedia.org
verificar audience
verificar validade
assertion

56. Válido por: 2 minutos
wikipedia.org
verificar audience
verificar validade
verificar assinatura
assertion

57. assertion
Válido por: 2 minutos
wikipedia.org
chave pública

58. assertion
Válido por: 2 minutos
wikipedia.org

59. assertion
cookie de sessão

60. demo #1:
http://sloblog.io
fmariertest@eyedee.me

61. Persona já é um
sistema descentralizado

62. descentralização é a resposta, mas não é
a estratégia de adoção do produto

63. não podemos esperar até todos os
domínios adotarem o Persona

64. solução: uma fallback
temporária centralizada
não podemos esperar até todos os
domínios adotarem o Persona

65. demo #2:
http://www.lpeu.com.br
fmariertest@gmail.com

66. Persona já funciona com
todos os domínios de e-mail

67. identity bridging

68. demo #3:
http://www.reasonwell.com/
fmariertest@yahoo.com

72. Persona supporta todos os
navegadores modernos
>= 8

73. Persona é descentralizado, simples
e para todos os navegadores

74. é simples para os usuários, mas também é
simples para os desenvolvedores?

76. <script src=”https://login.persona.org/include.js”>
</script>
</body></html>

77. navigator.id.watch({
loggedInEmail: “francois@mozilla.com”,
onlogin: function (assertion) {
$.post('/login',
{assertion: assertion},
function (data) {
// do something
}
);
},
onlogout: function () {
window.location = '/logout';
}
});

78. navigator.id.watch({
loggedInUser: “francois@mozilla.com”,
onlogin: function (assertion) {
$.post('/login',
{assertion: assertion},
function (data) {
// do something
}
);
},
onlogout: function () {
window.location = '/logout';
}
});

79. navigator.id.watch({
loggedInUser: null,
onlogin: function (assertion) {
$.post('/login',
{assertion: assertion},
function (data) {
// do something
}
);
},
onlogout: function () {
window.location = '/logout';
}
});

80. navigator.id.watch({
loggedInUser: null,
onlogin: function (assertion) {
$.post('/login',
{assertion: assertion},
function (data) {
// do something
}
);
},
onlogout: function () {
window.location = '/logout';
}
});

81. navigator.id.watch({
loggedInUser: null,
onlogin: function (assertion) {
$.post('/login',
{assertion: assertion},
function (data) {
window.location = '/';
}
);
},
onlogout: function () {
window.location = '/logout';
}
});

83. navigator.id.request()

87. navigator.id.watch({
loggedInUser: null,
onlogin: function (assertion) {
$.post('/login',
{assertion: assertion},
function (data) {
window.location = '/';
}
);
},
onlogout: function () {
window.location = '/logout';
}
});

88. navigator.id.watch({
loggedInUser: null,
onlogin: function (assertion) {
$.post('/login',
{assertion: assertion},
function (data) {
window.location = '/home';
}
);
},
onlogout: function () {
window.location = '/logout';
}
});

89. def verify_assertion(assertion):
page = requests.post(
'https://verifier.login.persona.org/verify',
data={ "assertion": assertion,
"audience": 'http://www.lpeu.com.br'}
)
data = page.json
return data.status == 'okay'

90. def verify_assertion(assertion):
page = requests.post(
'https://verifier.login.persona.org/verify',
data={ "assertion": assertion,
"audience": 'http://www.lpeu.com.br'}
)
data = page.json
return data.status == 'okay'

91. def verify_assertion(assertion):
page = requests.post(
'https://verifier.login.persona.org/verify',
data={ "assertion": assertion,
"audience": 'http://www.lpeu.com.br'}
)
data = page.json
return data.status == 'okay'

92. {
status: “okay”,
audience: “http://www.lpeu.com.br”,
expires: 1344849682560,
email: “francois@mozilla.com”,
issuer: “login.persona.org”
}

93. {
status: “failed”,
reason: “assertion has expired”
}

96. navigator.id.logout()

97. navigator.id.watch({
loggedInUser: null,
onlogin: function (assertion) {
$.post('/login',
{assertion: assertion},
function (data) {
window.location = '/home';
}
);
},
onlogout: function () {
window.location = '/logout';
}
});

99. 1. carregue uma biblioteca javascript
2. configure callbacks para login & logout
3. adicione botões de login & logout
4. verifique a prova de propriedade

100. 1. carregue uma biblioteca javascript
2. configure callbacks para login & logout
3. adicione botões de login & logout
4. verifique a prova de propriedade

101. 1. carregue uma biblioteca javascript
2. configure callbacks para login & logout
3. adicione botões de login & logout
4. verifique a prova de propriedade

102. 1. carregue uma biblioteca javascript
2. configure callbacks para login & logout
3. adicione botões de login & logout
4. verifique a prova de propriedade

103. você pode adicionar suporte ao
Persona em quatro passos simples

104. apenas um pedido

106. ao construir um site novo:
comece com Persona

107. em um site/app existente:
adicione suporta ao Persona

108. Para saber mais sobre o Persona:
https://login.persona.org/
https://developer.mozilla.org/docs/Persona/Why_Persona
https://developer.mozilla.org/docs/Persona/Quick_Setup
https://github.com/mozilla/browserid-cookbook
https://developer.mozilla.org/docs/Persona/Libraries_and_plugins
https://wiki.mozilla.org/Identity#Get_Involved
@fmarier http://fmarier.org

109. identity provider API
https://eyedee.me/.well-known/browserid:
{
"public-key": {
"algorithm":"RS",
"n":"8606...",
"e":"65537"
},
"authentication": "/browserid/sign_in.html",
"provisioning": "/browserid/provision.html"
}

110. https://eyedee.me/.well-known/browserid:
{
"public-key": {
"algorithm":"RS",
"n":"8606...",
"e":"65537"
},
"authentication": "/browserid/sign_in.html",
"provisioning": "/browserid/provision.html"
}
identity provider API

111. https://eyedee.me/.well-known/browserid:
{
"public-key": {
"algorithm":"RS",
"n":"8606...",
"e":"65537"
},
"authentication": "/browserid/sign_in.html",
"provisioning": "/browserid/provision.html"
}
identity provider API

112. https://eyedee.me/.well-known/browserid:
{
"public-key": {
"algorithm":"RS",
"n":"8606...",
"e":"65537"
},
"authentication": "/browserid/sign_in.html",
"provisioning": "/browserid/provision.html"
}
identity provider API

113. https://eyedee.me/.well-known/browserid:
{
"public-key": {
"algorithm":"RS",
"n":"8606...",
"e":"65537"
},
"authentication": "/browserid/sign_in.html",
"provisioning": "/browserid/provision.html"
}
identity provider API

114. identity provider API
1. check for your /.well-known/browserid
2. try the provisioning endpoint
3. show the authentication page
4. call the provisioning endpoint again

115. identity provider API
1. check for your /.well-known/browserid
2. try the provisioning endpoint
3. show the authentication page
4. call the provisioning endpoint again

116. identity provider API
1. check for your /.well-known/browserid
2. try the provisioning endpoint
3. show the authentication page
4. call the provisioning endpoint again

117. identity provider API
1. check for your /.well-known/browserid
2. try the provisioning endpoint
3. show the authentication page
4. call the provisioning endpoint again

118. © 2013 François Marier <francois@mozilla.com>
Este obra foi licenciado sob uma Licença
Creative Commons Atribuição-CompartilhaIgual 3.0 Nova Zelândia.
Porteiro: https://secure.flickr.com/photos/wildlife_encounters/8024166802/
Top 500 senhas: http://xato.net/passwords/more-top-worst-passwords/
Pergaminho: https://secure.flickr.com/photos/27613359@N03/6750396225/
Taça de vinho: https://secure.flickr.com/photos/yourdon/3977084094/
Sinal de pare: https://secure.flickr.com/photos/artbystevejohnson/6673406227/
Créditos das fotografias: