Реализация информации о пользователе OpenID

Question

Для смарт-режима OpenID в спецификации используется обмен ключами Диффи-Хеллмана. Мне интересно, можно ли использовать общедоступные и закрытые ключи (при условии, что они не скомпрометированы), или если они должны создаваться для каждого запроса. Я использую PHP OpenSSL-библиотеку (мой код: $key = openssl_pkey_new(array('private_key_type' => OPENSSL_KEYTYPE_DH));) для генерации ключей, и это ужасно медленно (в среднем 22 секунды для генерации ключа - очень неприемлемо для веб-сайта). Если ключи не могут быть повторно использованы, есть ли более быстрый способ генерировать ключи с помощью OpenSSL? Я бы предпочел не делать это вручную из-за зависимостей от математических библиотек и т. Д.

EDIT: Чтобы быть ясным, я ищу две вещи в ответе: могу ли я повторно использовать ключи Диффи-Хеллмана в режиме ассоциации OpenID, и если нет, существует ли более быстрый способ генерации ключей с использованием OpenSSL, чем openssl_pkey_new(), поскольку это занимает исключительно длительное время.

Answer 1

Джефф,

Я хочу начать, поддерживая свое решение построить это решение самостоятельно. Я согласен, что другие решения (по большей части) слабые в нескольких областях. Я еще не полностью перешел на PHP 5.3.5, но буду на пятках.

Во всяком случае, есть несколько ответов на ваш вопрос:

1. Да, так долго, как вы можете гарантировать, что частные & открытые ключи не скомпрометирован, вы прекрасно повторно использовать их. Я всегда немного параноик по этому поводу, поэтому я использую работу cron, чтобы каждую секунду обновлять свои ключи, а затем использовать отслеживание сеансов, чтобы убедиться, что у меня нет транзакции, которая начинается под старым ключом и заканчивается под новым. Этот дополнительный шаг (регенерация каждые 24 часа) не нужен, но может помочь облегчить ваши заботы.

2. Нет, это не должно занять 22 секунды для создания новых ключей. Мой сервер занимает 3-5 секунд, чтобы создать их (что я до сих пор чувствую слишком долго, поэтому задание cron на стороне, когда пользователи не подвержены/ждут вас. Возможно, вы захотите посмотреть в своих журналах, чтобы увидеть, любые предупреждения. Может возникнуть проблема с вашим openssl.cnf или какой-либо конфигурацией на сервере. Полагаю, что это может занять много времени, если ваш сервер несколько перенапряжен для ресурсов или у вас есть безумно медленный процессор. Вы можете проверить, что работает на заднем плане ... может быть, некоторые беглый бесконечный цикл увязывает процессора и памяти? является ли перезагрузка вариант?

Успехов!

Answer 2

OpenID умный режим

Что это интеллектуальный режим OpenID? Если вы не говорите о потреблении OpenId, я думаю, вы можете прекратить чтение (хотя я не думаю, что вы должны создать еще один OpenID-провайдер. Хватит им уже)

---

. Я никогда не читал спецификации openid (длинное/сложное чтение: $. Я хотел бы прочитать/узнать его когда-нибудь), но когда требуется проверка подлинности OpenID (?), Требуется 21 секунда. Тогда я думаю, что вы делаете что-то неправильно. Библиотека LightOpenID (настоящая простая библиотека) (потребитель) выполняет аутентификацию OpenID в течение секунды. Я создал this library which wraps LightOpenID+openid selector. Вы могли увидеть демонстрацию, размещенную на my hosting.