セキュリティレベルが異なるサイトに同じOpenIDプロバイダーを使用するリスクはありますか？
私は2度考えずに、それをサポートするすべてのサイトで常に同じOpenIDプロバイダー（強力な一意のパスワードと2要素認証を使用するGoogle）を使用しています。プロバイダーが安全である限り、これらのサイトの1つ以上が危険にさらされても問題はなく、残りのサイトは安全であると私は理解しています。
しかし、 別の質問 の1つのコメントは私を疑わせます：
問題の一部は、ユーザーのIDの制御を「失う」ため、データを公開している可能性があることです（...）。ただし、通常、ユーザーはOpenIdをいくつかのサイトに使用しますが、一部のサイトはセキュリティが低いため、セキュリティの高いサイトで自分のIDが危険にさらされる可能性があります。 （信頼境界と攻撃面の問題）。しかし、安全なサイトとそれほど多くないサイトの間でIDを混在させたい場合は、それが彼の選択です。
私は ユーザー中心とエンタープライズ中心のアイデンティティ と いくつかの関連する概念 について読んでいましたが、これがどのように発生するかを完全には理解できませんでした。結局のところ、各 依存パーティ はOpenIDプロバイダーのみを信頼し、必ずしもお互いを信頼するわけではありません。同じOpenIDアカウントにリンクされていると報告されていても、どちらか一方のアクティビティが他方によって承認されることはありません。さらに、RP内の機密情報が必ずしもOPに戻るわけではなく、残りのRPが利用できる情報ははるかに少なくなります。
とにかく、サイト（または関連サイトのコレクション）は、認証方法に関係なく独自の「ペルソナ」を作成できます。たとえば、StackExchangeには、同じユーザーからのすべてのアクションを多数のサイトに集中化する単一のネットワークプロファイルがあり、同時に各ユーザーが同じアカウント多くのOpenIDプロバイダーを介して（いずれかのプロバイダーが侵害された場合、もちろんユーザーアカウントが危険にさらされますが、すべてのプロバイダーが安全であり、他の一部の依存パーティ（それらのいずれかにリンクされている）が誤動作している場合は例外です） 。
何か不足していますか？多かれ少なかれ気になるサイトに別のプロバイダーを使用する必要がありますか、それとも単一のものをすべてに使用し続けても大丈夫ですか？
追伸最初に "I Just Logged In As You" および its followup を読んだとき、それはOpenIDに問題があると思いましたが、注意深く読んだ後、実際の問題Jeff直面したのはパスワードの再利用でしたが、それ以外は彼のプロバイダーアカウントは安全です。それは正しいですか、それとも、侵害された証明書利用者がOpenIDプロバイダーを妨害する可能性があるのでしょうか？
ここでのリスクは、オンラインペルソナ自体と、ソーシャルエンジニアリング攻撃につながるものです。 openidオーセンティケーターとしてgoogleを使用し、それを他のサイトのコレクションとともにスタック交換サイトにリンクしたとします。これ以前は、すべてのサイトで同じユーザー名とその他すべてを使用していた可能性がありますが、「mgibsonbr」が実際にあなたであると信頼するために人々が使用することはない緩い関連付けでした。さて、人々はスタック交換、reddit、shodanhqなどのサイトで見ることができます。mgibsonbrはあなたのGmailアカウントに直接リンクされており、彼らは実際にあなたと話していると信じています。
ここで誰かがスタック交換を危険にさらし、任意のユーザーになりすますことができるとしましょう。大したことでしょ？彼らができることは質問するか答えることだけであり、人々はあなたがrm -rf /が何をするか理解していないと思っているでしょう。さて、彼らがあなたと同じようにキャリア2.0サイトで仕事に応募し始めたら？ Careers 2.0サイトはあなたのメールアドレスに直接リンクされているので、雇用者は彼らがあなたと実際に話していると信じようとしています。多分彼らは仕事を得て、ある会社であなたとして雇われるでしょう。または、openidにリンクした別のサイトでクレジットカードを申請できる場合もあります。今、誰かがあなたの名前にクレジットカードを持っています。
アイデアは、実際の損害を与える可能性があると装ったサイトにオープンIDをリンクしたくないということです。