He encontrado un artículo bastante informado y completo acerca de los problemas del sistema de autenticación distribuido OpenID desde el punto de vista de la seguridad.

El artículo recopila informaciones y opiniones de expertos en otros blogs, y describe con detalle por qué OpenID es el “paraiso del phishing”, los problemas de privacidad que implica, problemas de disponibilidad, y problemas de usabilidad.

OpenID was designed as a lightweight solution for “trivial” use cases in identity management: its primary goal is to enable Internet surfers to replace self-generated usernames and passwords by a single login credential, without needing more than their browser. Concretely, OpenID aims to enable individuals to post blog comments and log into social networking sites without having to remember multiple passwords. (Of course, local password store utilities already do that; more on this later.)

Beyond this, OpenID is pretty much useless. The reasons for this are many: OpenID is highly vulnerable to phishing and other attacks, creates insurmountable privacy problems, is not a trust system, suffers from usability problems, and makes it unappealing to become an OpenID “consumer.” Many smart people have already elaborated on these problems in various forums. In the rest of this post I will be quoting from and pointing to their critiques.

Desde que se empezó a hablar de OpenID, inicialmente con mucho entusiasmo, había cosas que no “me cuadraban”. Al no haber investigado el tema en detalle, pensé que mis dudas y escepticismo eran debidos a que “no lo pillaba” Pero veo que mis reticencias están todas aquí.