14.04.2007
Hasło w aplikacji webowej nie jest konieczne
Standardowa metoda skojarzenia użytkownika aplikacji webowej z jego danymi to konto, do którego przypisany jest adres e-mail użytkownika oraz hasło. Założenie konta polega na podaniu adresu e-mail i hasła oraz (zazwyczaj) na kliknięciu w przesłany na adres e-mail link, co udowadania, że użytkownik jest “właścicielem” tego adresu.
Podczas ponownego użycia serwisu użytkownik podaje e-mail i hasło.
Hasło jednak nie jest w ogóle potrzebne.
Za każdym razem uwierzytelnienie użytkownika o konkretnym adresie e-mail może wyglądać tak samo, jak za pierwszym - niech przy kolejnym logowaniu odbierze nowego maila z linkiem weryfikacyjnym.
Idę o zakład, że znakomita większość użytkowników korzysta z danego serwisu po zalogowaniu tylko jeden, jedyny raz (np. forum, na którym chcą coś znaleźć, ale muszą się zalogować, żeby zobaczyć jakiekolwiek wpisy) — w ten sposób można im uprościć życie. Nie prosić o hasło.
Dla stałych użytkowników może być dodatkowa opcja logowania z hasłem oraz opcja logowania/założenia konta przez OpenID. Oczywiście dla wielu użytkowników może to być utrudnienie (większość systemów webmail jest mniej wygodnych niż desktopowe czytniki poczty), ale jest to opcja, która można rozważyć pisząc proste aplikacje.
Nie jest potrzebne? Zważywszy na to, że w przeważającej większości przypadków użytkownicy korzystają z jednego lub tylko z kilku haseł (albo, tak jak ja, korzystają z generatora/autowypełniacza)—link do logowania (?) prawie zawsze będzie utrudnieniem (jak zawsze przy łamaniu konwencji).
Pomijając już kwestie bezpieczeństwa, wprowadzamy dodatkowy czynnik pomiędzy userem a systemem logowania—serwer poczty, w którego razie awarii nie byłoby możliwości odzyskania konta. Zwróć uwagę, że nawet jeśli ktoś może przechwycić takie “uniwersalne” hasło, to nigdy nie wie, w jakich serwisach zostało ono wykorzystane. Uzyskując natomiast dostęp do maila—mógłby mieć jak na tacy wszystkie podatne miejsca.
Autor aplikacji prawie nigdy nie zakłada, że użytkownik odwiedzi ją tylko raz… Z tego względu jedyna korzyść wynikająca z takiej zmiany wyklucza przyjęcie się tego w prawdziwym świecie.
// P.S. Nie szukaj tematów na siłę ;-)
“link do logowania (?) prawie zawsze będzie utrudnieniem (jak zawsze przy łamaniu konwencji)”
Właśnie na odwrót. W ten sposób upraszczasz wejście do systemu - to kompromis pomiędzy koniecznością “zalogowania się” (stworzenia konta) a wygodą użytkownika (który chce jak najmniej przeszkadzaczy).
Skoro podczas zakładania konta i tak musi sprawdzić pocztę, i chce (zazwyczaj) tylko raz skorzystać z serwisu, hasło nie jest mu potrzebne.
Piszę przecież, że jeśli userowi to potrzebne - jest stałym użytkownikiem - można mu zaoferować hasło.
“Autor aplikacji prawie nigdy nie zakłada, że użytkownik odwiedzi ją tylko raz… Z tego względu jedyna korzyść wynikająca z takiej zmiany wyklucza przyjęcie się tego w prawdziwym świecie.”
Cieszy mnie Twoja pewność. Niemniej wszelkie statystyki jasno pokazują, że jednorazowi goście stanowią w Internecie w większości przypadków znaczącą większość odwiedzających w ogóle. Wynika to ze sposobu działania wyszukiwarek.
Konta zakładane są i w aplikacjach typu Basecamp (tam ta propozycja bez hasła nie ma sensu), i w aplikacjach typu forum (są tysiące forów internetowych), gdzie sprawdziłaby się znakomicie - o dwa (”trudne”) pola mniej.
PS. Nie wiem, z czego wynika Twoje przekonanie, że szukam tematu na siłę. Ciekawe, w jaki sposób to oceniasz! Mam wrażenie, że gdy tylko nowy wpis przedstawia dziwny z czyjegoś punktu widzenia pomysł, zostaje oceniony jako próba zapełnienia bloga jakąkolwiek treścią. Czy tak to działa? (jeśli tak, to trudno - na tym polega dzielenie się przemyśleniami i pomysłami - niektóre są beznadziejne, inne genialne, przy czym to rozróżnienie jest tylko po stronie czytelników oczywiście)
Co do bezpieczeństwa - idąc już dalej - kompletnie się nie zgadzam z tym, co napisałeś: jeśli mam dostęp do czyjegoś konta email, mogę zrobić WSZYSTKO. Po prostu lecę po kolei po wszystkich sklepach internetowych i serwisach web20, prosząc o przypomnienie hasła na ten adres email. (Nie muszę wcale znać usług, z których ta osoba korzysta - dowiem się po tym, czy odbiorę nowe hasło, czy nie.)
To dopiero jest klęska bezpieczeństwa w dzisiejszych czasach - wystarczy dostęp do konta email i ktoś może mi odebrać prawie każde konto na jakiś czas (zwłaszcza jeśli jest możliwość zmiany adresu email - atakujący przypomnieniem hasła uzyskuje dostęp do konta, a potem zmienia adres email na swój, i już!).
Nie chodzi tu o bezpieczeństwo. Bezpieczeństwo jest oparte na emailu. Hasło z powodu opcji “zapomniałem hasło” pomaga (lekko) tylko wtedy, gdy jest jeszcze nazwa konta, ale nazwę konta też można zapomnieć, i przypominajki przypominają obecnie już także nazwę konta. (Bo jest to twór abstrakcyjny, mniej przydatny niż email w wielu przypadkach.)
Wg badań, Internatów podczas rejestracji najbardziej irytuje:
- konieczność weryfikacji adresu e-mail
- konieczność przepisywania kodów z obrazków
- ograniczenia dotyczące długości loginu, hasła itp.
Moim zdaniem zmuszenie użytkownika do wykonania szeregu czynności związanych z logowaniem poprzez weryfikacje e-mail jest rzeczą, o której nie warto nawet rozmyślać.
Weźmy jeszcze pod uwagę taką rzecz: ile czasu będzie trwało każdorazowe logowanie?
Rozumiem, że w tym wypadku najważniejsza dla Ciebie jest prostota. Jednak najczęściej jest tak, że (z różnych względów) ogromnie ważną kwestią jest uproszczenie przede wszystkim formularza rejestracji. Każdy stara się go uprościć na tyle, aby nie zniechęcić użytkownika do zakończenia procesu.
Dodanie dodatkowego pola w stylu wyboru „typu” jednorazowy/stały moim zdaniem może wprowadzić dużo większe zamieszanie i problem niż sam wymóg / logowanie za pomocą hasła. Trzymając się przykładu for—jeśli treść jest dostępna tylko po zalogowaniu, ciężko jest na starcie określić to, czy chce się zostać na stałe, czy zrezygnować po pierwszym wejściu. Zresztą takie „wymuszanie” rejestracji stosuje się również w celu zatrzymania użytkownika, podwójne działanie byłoby trochę absurdalne IMHO.
// Nie bierz ostatniego zdania o temacie do siebie, przesadziłem, tutaj masz rację :)
„Po prostu lecę po kolei po wszystkich sklepach internetowych i serwisach web20, prosząc o przypomnienie hasła na ten adres email. (Nie muszę wcale znać usług, z których ta osoba korzysta - dowiem się po tym, czy odbiorę nowe hasło, czy nie.)”
Już to widzę, że ktoś sprawdzałby „wszystkie” sklepy i serwisy ;-) Miałem na myśli właśnie przede wszystkim tę wiedzę n/t wykorzystania tego konta w poszczególnych miejscach.
Ja bym to uznała za ogromne utrudnienie. Normalnie hasło zapamiętuje mi Firefox i nie martwię się o nic. Za każdym wejściem do serwisu miałbym czekać na przyjście maila? Dla mnie to wiązałoby się z zaprzestaniem używania takiej web aplikacji.
Takie rozwiązanie wprowadzono w serwisie Mugshot (http://mugshot.org/). Logowanie polega na kliknięciu odnośnika znajdującego się w wiadomości, oprócz tego istnieje możliwość korzystania z hasła.
Wojciech: piszesz “Dodanie dodatkowego pola w stylu wyboru „typu” jednorazowy/stały moim zdaniem może wprowadzić dużo większe zamieszanie i problem niż sam wymóg / logowanie za pomocą hasła.”
Ale ja nie chcę dodawać takiego pola do formularza rejestracji, to po pierwsze. Po drugie, niepodawanie hasła oznacza dwa pola mniej w formularzu rejestracji. Chodzi o przyspieszenie.
Bellois: hasło jest zapamiętywane, ale nie jest potrzebne. Tylko o to chodzi.
Jeśli logujesz się gdzieś wielokrotnie, hasło pewnie Ci się przyda… do tego, żeby Firefox je zapamiętał i wstawił.
A co zrobić z tą koniecznością odbierania email, to jest proste akurat. Wystarczyłby prosty mechanizm, który integrowałby przeglądarkę z programem pocztowym i w tle dokonywał autoryzacji przez email. Przeglądarka wysyłałby odpowiednie zgłoszenie przez API systemu operacyjnego do programu pocztowego, ten odbierałby w momencie rejestracji konta (”na dany email”) pocztę, zgodnie z protokołem rozpoznawał wiadomość z tokenem, i przekazywał token przeglądarce, która w tle udowodniłaby serwisowi www, że ma dostęp do konta email użytkownika.
To samo można zrobić przez webmail - byłaby to dodatkowa usługa dostawców poczty - webservice. Ale tutaj byłoby trochę trudniej.
To wszystko jest do zrobienia. Można robić dużo fajnych, przezroczystych mechanizmów logowania :)
Maciej: Mugshot - dzięki za przykład! Bardzo fajnie działa, dokładnie tak, jak opisałem.
“Wszystko już było.”
http://www.xmpp.org/extensions/xep-0070.html
Nie podoba mi się ten pomysł… nie podaję mojego głównego maila podczas rejestracji, bo nie wierzę nikomu jak psu ;) (spam!), więc takie mechanizmy zmuszają mnie do przełączenia konta GMail klikania w link. Bez sensu trochę.
Jako uzupełnienie - tak, bo gdzieniegdzie chcę skorzystać jednorazowo. Ale jako jedyny mechanizm uwierzytelniania - nie, chociażby dlatego, że
1. nie na każdym komputerze mam ochotę wpisywać swoje hasło do poczty - a nie zawsze mam laptopa ze sobą.
2. nie wszyscy mają pocztę via webmail.
Ale sama idea poddania pomysłu pod dyskusję mi się spodobała, ciekawe komentarze :>
howgh :)
to niewidoczne haslo mogloby rowniez przychodzic smsem na komorke zamiast na adres email. tyle ze jesli celem ma byc wygoda usera, to imo mimo wszystko wygodniej, zeby mu przegladarka to niepotrzebne haslo zapamietala, tak jak pisze bellois, albo jeszcze lepiej aplikacja typu asus security protect manager, niz gdyby trzeba bylo otwierac poczte (czytac sms) i w cos klikac lub przepisywac.
IMHO trochę złe podejście.
Bo skoro jest już “forum, na którym chcą coś znaleźć, ale muszą się zalogować, żeby zobaczyć jakiekolwiek wpisy” to chyba zdecydowanie lepiej byłoby po prostu forum udostępnić dla niezalogowanych użytkowników.
Wiadomo, że nie zawsze jest to pożadane, ale w takim przypadku również nie ma co liczyć na wprowadzenie Twojego pomysłu.
Ja przy rejestracjach w niesprawdzonych serwisach, wspomnianych “jednostrzałowcach” jak chyba wiele osób nie podaję prawdziwego maila, tylko jaiegoś trashmail`owego. A czy takimi użytkownikami warto zapychać sobię bazę danych?
“Wystarczyłby prosty mechanizm, który integrowałby przeglądarkę z programem pocztowym i w tle dokonywał autoryzacji przez email.”
Teraz wymyślasz kolejne rozwiązania problemu, który sam stworzyłeś :-) Uzależniasz logowanie od kolejnego elementu - do poczty, która może być awaryjna a listy mogą dochodzić z opóźnieniem dodajesz program integrujący przeglądarkę z pocztą.
Logowanie powinno być zależne od jak najmniejszej liczby czynników zewnętrznych IMO.
Co za problem korzystać z dwóch metod logowania, gdzie ta, którą opisuje Elsindel to jednocześnie nic innego, jak wygodna funkcja “zapomniałeś hasła?”.
Kto chce się zalogować normalnie (pamięta hasło, przeglądarka za niego pamięta etc.) to się loguje. Kto nie pamięta hasła dostaje link w e-mailu, gdzie po kliknięciu jest automatycznie logowany. Od specyfiki seriwsu zależałoby teraz, czy przechodziłby na stronę zmiany hasła, czy tylko widziałby komunikat informujący go, że może zmienić hasło w swoim profilu, czy w ogóle zostałoby to zignorowane. Co więcej - można dzięki temu logowanie zintegrować automatycznie z funkcją zapomnianego hasła - gdy podczas logowania pole ‘hasło’ będzie puste, lub np: dwukrotnie nie uda się zalogować użytkownikowi.
Chyba taki mechanizm zacznę wprowadzać w swoich aplikacjach, dzięki za inspirację ;)
Wg mnie największym problem w tym rozwiązaniu byłoby:
- przyzwyczajenie użytkowników do konwencjonalnego logowania
- opóźnienia (niestety czasami duże) w otrzymywaniu emaila weryfikującego
Chociaż z drugiej strony sama idea dość ciekawa..
[…] Moje przemyślenia będące odpowiedzią na artykuł Kuby, w którym autor próbuje przekonać czytelnika, iż hasła do serwisów nie są potrzebne. Osobiście myśle troche inaczej, dlatego chciałem się z Wami z tym podzielić. […]
Ja do rozwiązania problemów z posiadaniem wielu haseł ( korzystam chyba z 200 serwisów webowych ) wykorzystuje bardzo przydatny programik Roboform .
Polecam: http://www.roboform.com/pl/ .
[…] Moje przemyślenia będące odpowiedzią na artykuł Kuby, w którym autor próbuje przekonać czytelnika, iż hasła do serwisów nie są potrzebne. Osobiście myślę troche inaczej, dlatego chciałem się z Wami z tym podzielić. […]
ja polecam przy jednorazowym wejsciu na forum bugmenot :) uzywam widgetu w operze - w FF jest plugin.