Por que a desativação de cookies de terceiros não bloqueia sites de autenticação, LiveID, OpenID, etc.

Question

Por que a desativação de cookies de terceiros não bloqueia sites de autenticação, LiveID, OpenID, etc.

Tentando não tornar isso político, mas preciso explicar minha motivação para ajudar aqueles que podem responder a isso.

Eu estava assistindo à tomada de poder de neutralidade anti-net do Google / Verizon por algum tempo. Infeliz com o anúncio deles, decidi que era hora de não recompensar o Google optando passivamente por seus esforços de mineração de dados.

Suponho que mudar os mecanismos de pesquisa e desativar cookies de terceiros seria um bom passo.

O que me confunde é que sites de autenticação como LiveID, OpenID, etc. ainda funcionam. Alguém pode explicar por que esse é o caso? Eu teria pensado que, como são domínios diferentes, não funcionaria.

    

Answer 1

O uso do cookie openID depende da parte confiável. Em geral, funciona assim:

1. Usuário envia URL para a terceira parte confiável do OpenID
2. Parte confiável verifica o URL para as informações do OpenID
3. Parte confiável detecta Parte de autenticação, informa à parte que o usuário deseja autenticar.
4. A parte de autenticação verifica se o usuário está autenticado (cookies: o site de autenticação verifica seus próprios cookies).

Se o usuário estiver logado, o site que confia pode emitir seus próprios cookies em seu próprio domínio.

Se o usuário não estiver logado:

1. O usuário é encaminhado para a página de login da parte de Autenticação
2. Se o usuário fizer login com sucesso, a parte de autenticação definirá os cookies de que precisa e informará à terceira parte confiável que o usuário está autenticado.
3. A terceira parte confiável define os cookies de que precisa e permite que o usuário entre.

Observe a falta de cookies de terceiros em tudo isso. Entendo que o LiveID funciona da mesma maneira, com os servidores de autenticação LiveID informando ao site de terceiros que o usuário fez logon com sucesso e com quem está conectado, o que permite que o servidor de terceiros interaja com o usuário como se tivessem feito login localmente.

    

Answer 2

Acho que esses sites usam CERTIFICADOS e credenciais compartilhadas, não cookies. Você pode ler mais aqui.