Io uso sempre lo stesso provider OpenID (Google, con una strong pw univoca e un'autenticazione a 2 fattori) in ogni sito che lo supporta, senza pensarci due volte. A mio avviso, finché il fornitore è sicuro, non importa se uno o più di questi siti vengono compromessi, il resto rimarrà al sicuro.
Tuttavia, un commento in un'altra domanda mi ha messo in dubbio:
One part of the issue is that you "lose" control of your users' identities, so you might be exposing your data (...). However, typically a user will use his OpenId for several sites, some of lower security, which might potentially put his identity on the higher-security site at risk. (A question of trust boundaries and attack surface). BUT, if he wants to mix identity between secure- and not-so-much sites, that could be his choice.
Ho letto di identità incentrate sull'utente e centrate sull'azienda e alcuni concetti correlati , ma non è stato possibile capire come ciò possa accadere. Dopotutto, ogni Relying Party si fida solo del provider OpenID, non necessariamente l'un l'altro. L'attività in una di esse non verrà approvata dall'altra, anche se viene segnalata come collegata allo stesso account OpenID. Inoltre, le informazioni sensibili in un RP non troveranno necessariamente la loro strada verso l'OP, tanto meno saranno disponibili per i restanti RP.
E comunque, un sito (o una raccolta di siti correlati) può creare il proprio "personaggio" indipendentemente dal metodo di autenticazione. StackExchange, ad esempio, ha un singolo profilo di rete che centralizza tutte le azioni dello stesso utente attraverso i suoi numerosi siti e, allo stesso tempo, consente a ciascun utente di autenticarsi allo stesso account attraverso molti provider OpenID (se entrambi i fornitori sono compromessi, quindi ovviamente l'account utente sarà a rischio, ma non se tutti i provider sono sicuri e qualche altra parte relying - collegata a uno di essi - si comporta male).
Mi manca qualcosa? Devo utilizzare provider diversi per siti a cui tengo più o meno, o è giusto continuare a usarne uno per tutto?
P.S. Quando leggo per la prima volta "Ho appena effettuato l'accesso come te" e il suo follow-up Ho pensato che fosse un problema con OpenID, ma dopo un'attenta lettura ho capito che il vero problema affrontato da Jeff era il riutilizzo della password, e oltre al fatto che il suo account provider sarebbe stato comunque sicuro. È corretto, o esiste davvero una possibilità che una parte di compromissione compromessa possa finire per interferire con il provider OpenID?