Description

Autenticación web global y abierta. Descentralizada y privada https://podcast.jcea.es/podcastz/10

Notas:

• 00:40: Persona es la alternativa Mozilla a "Single Sign On" propietarios.

• 01:40: Manejar la complejidad de mantener claves diferentes en varios sitios.

• 02:50: ¿Qué es Persona?: Privacidad, descentralizado, no depender de un proveedor.

• 07:10: El problema del huevo y la gallina. Ahora mismo Persona es muy centralizado, riesgo de hacking y
  dependencia de Mozilla.

• 08:50: ¿Cómo funciona? Se certifica la propiedad del un correo electrónico.

• 10:30: ¿Qué pinta el correo en todo esto?

• 13:00: Cuando tu proveedor de correo no es un proveedor de identidad de Persona, entonces la certificación
  se centraliza en Mozilla.

• 14:30: Persona es un protocolo descentralizado que ahora mismo depende de Mozilla. A medida que el protocolo
  tenga éxito, se irá haciendo más y más descentralizado.

• 16:10: ¿Cómo gestiona tu identidad tu proveedor de identidad?

• 19:00: ¿Cómo funciona a nivel técnico?. El workflow.

• 23:50: Privacidad respecto a tu proveedor de identidad. Tu proveedor de identidad no sabe qué webs visitas.

• 25:00: ¿Cómo valida tu identidad el verificador?

• 28:30: Te autentifico sin que ni siquiera tengas una cuenta en mi servicio. Por ejemplo, un blog o un foro.
  No necesito darme de alta.

• 32:30: Persona hace posible que no tengas que almacenar claves en el servidor. Podrías no tener, siquiera,
  una base de datos de usuarios.

• 33:30: Pegas de Persona: Hay pocos proveedores de identidad, así que el sistema se acaba centralizando en Mozilla.

• 34:30: Descripción técnica del "fallback" a Mozilla.

• 36:00: Mientras Persona no triunfe, se depende de Mozilla.

• 38:00: Mozilla permite autentificarte en Persona con autenticaciones OAuth: por ejemplo, Facebook, Google, Yahoo,
  Twitter, etc. Esto permite no tener una clave adicional, y te proporciona privacidad respecto a tu proveedor de Identidad.
  Y mantiene la identidad para el usuario.

• 42:00: Correlación entre logins y accesos Persona. ¿No se puede identificar a los usuarios?.
  Se puede evitar cacheando claves públicas de los proveedores de identidad (y con refrescos proactivos), o usando a Mozilla
  de intermediario.

• 45:00: ¿Podría otro proveedor ser un proveedor de identidad secundario?. No, aunque el protocolo
  permite delegaciones. Varios dominios pueden delegar su autenticación en otro servidor. Útil para empresas con varios dominios,
  pero bajo el mismo control administrativo.

• 48:30: ¡Pero es que no quiero depender de Mozilla!. No se puede. Se siente. La única solución es que Persona
  se popularice, haya más proveedores de identidad y depender menos de Mozilla. A medida que el protocolo se populariza,
  el peso de Mozilla baja. Al contrario que los demás sistemas SSO (Single Sign On).

• 51:00: Pero a Google o a Facebook no les interesa ser proveedores de identidad, porque su negocio es
  precisamente conocer los hábitos de navegación de sus usuarios, porque se financian vendiendo esa información a las
  agencias publicitarias.

• 52:30: Opinión personal sobre el futuro de Persona.

• 56:50: ¿Qué tiene que hacer una página web para permitir que los usuarios accedan con Persona?.
  Es MUY fácil, y no requiere instalar nada en el servidor.

• 59:00: La idea de Mozilla es que una versión futura de Firefox incluya soporte Persona nativo.
  Más rápido y más seguro. Para los navegadores que no incluyan la funcionalidad, usarán un javascript externo, como ahora mismo.

• 01:00:00: Un desarrollador web solo necesita incluir un javascript que proporciona Mozilla. Si no quiere
  complicarse la vida, incluso puede delegar la verificación en Mozilla. Una implementación sencilla no requiere instalar NADA
  en el servidor.

• 01:03:30: Mozilla se ha preocupado mucho de que el usuario, el proveedor de identidad y el verificador
  trabajen lo menos posible. Que tengan que hacer lo mínimo posible. Que la barrera de entrada sea muy baja.

• 01:05:10: Recapitulación de Pablo: facilidad para el usuario, privacidad para el usuario, descentralización y
  facilidad para los verificadores.

• 01:06:00: Aunque los proveedores grandes no colaboren, podremos hacer login con los botones de login
  tradicionales (Google, Facebook, etc).

• 01:07:00: La conversión a proveedor de identidad se realiza dominio a dominio. No hace falta un consenso global.
  Una organización puede usar el protocolo Persona para ser proveedor de identidad y verificador. No depende de nadie,
  ni siquiera de Mozilla.

• 01:08:30: El protocolo sigue evolucionando. Conviene depender de Mozilla, para no sufrir las actualizaciones.

• 01:10:10: ¡¡¡CORTE!!!

• 01:10:11: Resumen.

• 01:13:00: Despedida.

• 01:13:48: Apéndice: Donación bitcoin y publicación de audios en OPUS.