Cosas esenciales en las que pensar antes de externalizar la autenticación con OpenID, OAuth o SAML

La respuesta correcta dependerá claramente de su aplicación.

Por ejemplo, has enumerado:

  

Opción para el proceso de inicio de sesión "difícil" para mejorar la seguridad (Verisign), también vea esta pregunta relacionada

Usar un proveedor como este sería una elección terrible para un sitio con bajos requisitos de seguridad de inicio de sesión y un fuerte deseo de tener pocas barreras de entrada para obtener una base de usuarios, por ejemplo, un intercambio de pila o twitter. Por otro lado, sería un beneficio para un sitio que necesita realizar transacciones financieras.

Hasta cierto punto, también dependerá de la combinación de las preferencias de sus usuarios combinadas con la reputación del proveedor. Si obliga a los usuarios a usar Facebook, por ejemplo, para registrarse, puede perder usuarios que hayan rechazado Facebook. O google: ya tienen suficiente información sobre mí, ¿por qué querría que lo supieran cada vez que inicie sesión en su, digamos, sitio de citas?

Por último, creo que una "característica" que falta es el historial de seguridad de actual (en comparación con prometido ). Si un proveedor dado ha tenido una serie de fallas, es probable que continúen teniendo fallas. Esto no quiere decir que un proveedor sin vulnerabilidades conocidas no tendrá algunas expuestas en el futuro.

Un problema clave al usar un proveedor de identidad subcontratado (IdP) es una posición de confianza. ¿Confías en ellos? El factor de confianza tomará muchas formas y es imperativo que acompañe a los patrocinadores de su empresa a través de las ventajas y desventajas de los modelos de confianza federados antes de hacerlo.

1. ¿Tiene un contrato explícito o implícito con el IdP? Esto es importante porque si su empresa depende de un IdP de terceros, debe asegurarse de que los comerciales se entiendan completamente sobre lo que puede y no puede hacer con las identidades de confianza y si el IdP puede retirar el servicio sin previo aviso, etc. li>
2. No dice si los usuarios son el público en general o el personal. Si son miembros del personal, debe considerar el proceso de JML (joiners, leavers, movers) y asegurarse de tener implementados los procesos asociados para administrar quién está autorizado para ver qué. La Federación resuelve de forma ordenada gran parte de la autenticación, pero ninguno de los privilegios y la autorización.
3. Has enumerado algunos excelentes mecanismos federados que son útiles en sitios web públicos. Si también se está federando con usuarios del personal (es decir, con sus propias identidades), es posible que necesite un conector SAML. Usted menciona ADFS; que ha tenido sus limitaciones en el pasado en términos de cumplimiento con SAMLv2, pero es excelente si usa Active Directory como su herramienta IdP. La industria tiene algunos actores importantes como Shibboleth (OSS) y Ping con su herramienta "Federate". También tienen una solución Ping Connect que es un poco más barata. Sin embargo, estos solo son necesarios si usted es el IdP y utiliza un proveedor de servicios (SP) externo. Ping, IBM y CA tienen herramientas de federación pero están en el extremo más caro del espectro.