Почему отключение сторонних файлов cookie не блокирует сайты аутентификации, LiveID, OpenID и т. Д.

Question

Почему отключение сторонних файлов cookie не блокирует сайты аутентификации, LiveID, OpenID и т.д.

Стараюсь не делать это политическим, но мне нужно объяснить свою мотивацию, чтобы помочь тем, кто может на это ответить.

Некоторое время я наблюдал за захватом нейтралитета Google/Verizon. Недовольный их объявлением, я решил, что пришло время не вознаграждать Google, пассивно выбирая их усилия по извлечению данных.

Я предполагал, что переключение поисковых систем и отключение сторонних файлов cookie будет хорошим шагом.

Меня смущает то, что сайты аутентификации, такие как LiveID, OpenID и т.д., Все еще работают. Может кто-нибудь объяснить, почему это так? Я бы подумал, что, поскольку это разные домены, это не сработает.

Answer 1

Использование файлов cookie openID зависит от проверяющей стороны. В общем, это работает так:

1. Пользователь отправляет URL проверяющей стороне OpenID
2. Проверяющая сторона проверяет URL для информации OpenID
3. Проверяющая сторона обнаруживает сторону аутентификации, сообщает стороне, что пользователь желает пройти аутентификацию.
4. Аутентифицирующая сторона проверяет, аутентифицирован ли пользователь (куки: сайт аутентификации проверяет свои собственные куки).

Если пользователь вошел в систему, проверяющий сайт может создавать собственные файлы cookie в своем собственном домене.

Если пользователь не вошел в систему:

1. Пользователь перенаправляется на страницу авторизации участника аутентификации.
2. Если пользователь успешно входит в систему, сторона, проводящая аутентификацию, устанавливает все необходимые ему cookie-файлы и сообщает проверяющей стороне, что пользователь прошел аутентификацию.
3. Проверяющая сторона устанавливает любые файлы cookie, которые им необходимы, и позволяет пользователю войти.

Обратите внимание на отсутствие каких-либо сторонних файлов cookie. Насколько я понимаю, LiveID работает примерно так же, поскольку серверы проверки подлинности LiveID информируют сторонний сайт о том, что пользователь успешно вошел в систему и как он вошел в систему, что позволяет стороннему серверу взаимодействовать с пользователем. как будто они вошли локально.

Answer 2

Я думаю, что эти сайты используют СЕРТИФИКАТЫ и общие учетные данные, а не куки. Вы можете прочитать больше здесь.