是否有任何 OpenID 身份提供者允许站点唯一的任意电子邮件地址?

信息安全 打开ID
2021-08-23 00:19:38

由于 OpenID 正式向站点提供电子邮件地址(在用户许可的情况下)是为了方便而不是证明,是否有任何 OpenID 身份提供者允许您使用一个电子邮件地址对无限数量的站点进行身份验证,但是在在新站点注册,允许您在文本框中输入特定于该站点的任意电子邮件地址,然后它会将您踢回您正在注册的站点?

为什么?

多年来,我发现实际上只有一种几乎万无一失的方法可以避免垃圾邮件:我将我的邮件服务器配置为允许临时别名,并且我为每个站点和发件人使用不同的电子邮件地址。这些电子邮件地址的格式为mymailbox-senderspecificalias@mydomain.net

优点很多:

  • 如果我开始收到垃圾邮件,我可以查看该地址,然后添加一个 Procmail 规则,以便随后在邮件服务器上立即删除它。

  • 如果网站或朋友/家人/任何人被黑客/恶意软件入侵并且地址被获取,这是唯一有效的方法。

归根结底,告诉一个人或网站“mymailbox-senderspecificalias2@mydomain.net从现在开始使用”要比在电子邮件地址屈服于垃圾邮件发送者时不断地核对电子邮件地址要容易得多。

它有很大的不同。仅今天,我就收到了大约 12,380 封发给我所在域中所谓收件人的入站电子邮件。其中19篇是非垃圾邮件。实际上,我必须编写一个 cron 作业来轮换和删除我的 Procmail 日志,因为如果我不这样做,它们将在几天内达到数 GB。

这就是问题所在:我见过的大多数通过 OpenID 进行身份验证的网站都错误地将他们从 OpenID 收到的地址视为此后不可变。如果我以 身份登录某个 OpenID 提供商mymailbox-myopenidprovider@mydomain.net,并最终将相同的电子邮件地址传递给我使用的每个站点,那么当其中一个站点开始向我发送垃圾邮件或被垃圾邮件发送者收割时,我的整个策略将很快崩溃。

我想要发生的是,在向 OpenID 提供商进行身份验证后,当它到达通常会要求我允许与其他站点共享我的电子邮件地址的页面时,我希望看到一个对话框框允许我输入我想用于该特定站点的任何唯一电子邮件地址。

那么,有吗?

2个回答

不。

开放式身份验证的前提是它知道您是谁。如果您可以在身份验证后更改您的身份,那么整个系统将无法用作身份验证方法。

尝试使用 SpamHaus 之类的工具来解决您的问题。

我不知道有任何网站这样做。

但有可能。

要记住的事情。有安全域和一整套发现机制等。大多数网站只是跳过发现的东西,选择少数供应商——谷歌和脸书。这些网站不支持你正在做的事情。

好的,所以假设您正在谈论的站点正在使用某种发现方法,并且您控制域,那么您应该能够对您的服务器进行一次身份验证,并为您注册的每个站点存储一个唯一的电子邮件地址。

我不知道有任何网站这样做。