Тезисы о standalone blog

[pargentum]

Все-таки самое ценное для меня в ЖЖ - это комментирование и френдлента, то есть сообщество с не очень жесткими, но все-таки очерченными и потенциально контролируемыми границами.  Просто публиковать поток сознания я и на narod.ru могу.

Standalone blog не то, чтобы лишен этих ценностей, но там с ними гораздо хуже.  RSS - это здорово, но как быть с авторизацией - доступа к чужим лентам, ну и, самое главное, авторизации при комментировании?  OpenID?  Извините, это несерьезно.  То есть нет, поймите меня правильно, люди, придумывавшие OpenID, действовали из самых наилучших и наиразумнейших побуждений, но давайте признаемся честно: задача распределенной авторизации, которой хотя бы минимально можно было бы доверять, ими не решена.  OpenID ничуть не надежнее подписи "вася" в теле анонимного коммента.  Это что угодно, но не авторизация.
 
Второй аргумент (или, скорее, группа аргументов) против standalone blog - http://yellow-rat.livejournal.com/676958.html .  Как справедливо отметил один из комментаторов, ему этого и на работе хватает - и мне тоже.

Еще один недостаток standalone (главным образом с точки зрения окружающих) - это шанс его потери.  Не оплатил вовремя хостинг - и елдыбабай.  И весь блог со всеми комментами потерян для истории.

Главное и неоспоримое из преимуществ standalone, на мой взгляд - это возможность контролируемого backup/restore.  Возможность заглянуть в access.log и посмотреть, кто и откуда тебя читает - это больше по приколу, ну или если какой-то онанимус задолбает.  Бан по IP правда реализовать несложно - тоже достоинство...

Comments

Правильно ли я понял,

[schegloff.livejournal.com]

что серверный сервис (с зеркалами, как уже сейчас сделано на LJR) с возможностью управляемого пользователем бэкап-ресторе и с авторизацией по открытым ключам (френд = авторизованный ключ) закроет 99% Ваших потребностей?

Или нужно что-то еще?

Не просто так спрашиваю, а как докатившийся до разработки этой беды...

Re: Правильно ли я понял,

[pargentum.livejournal.com]

Насчет 99% вряд ли, но наиболее приоритетные требования учтены.

Re: Правильно ли я понял,

[pargentum.livejournal.com]

С публичными ключами вот только не все просто. Хотелось бы, чтобы управление этими ключами было возможно более прозрачным, т.е. чтобы вбил что-то типа пароля (не совпадающего с основным паролем журнала) на чужом сервисе, и он тебя авторизовал. А публичный ключ - ты его раз предъявил и - ...

В этом смысле, я думал в направлении более тупой схемы - два пароля, один позволяет модифицировать сам блог, а второй используется для авторизации на чужих сервисах, но не совпадает с первым.

Прошу "публичный ключ" считать метафорой :)

[schegloff.livejournal.com]

Конечно же, авторизация происходит по более сложному алгоритму -
1) ты хто?
2) я ХХХ, мой ключ вот!
3) ну на тебе, раскодируй
4) вот, раскодировал
5) эге, значит ты и впрямь ХХХ...

Вот этап 3 - запрос на авторизацию - и есть френд-лента. Неавторизованные ключи просто не рассматриваются. Этап 4 - проверка собственно ключа.

Если речь идет об авторизации на одном сервисе, публичные ключи на нем и хранятся (а верить, кому они принадлежат, дело каждого пользователя отдельно). Приватные ключи - дома, хоть те же SSH, хоть еще какие-нибудь.

А вот насчет OpenID я пока даже не разбирался, мутно слишком. Но придется...

Re: Прошу "публичный ключ" считать метафорой :)

[pargentum.livejournal.com]

Насколько я понимаю openID, там как раз не с чем разбираться.
Просто вместо имени пользователя вбивается URL. То есть все, что ты говоришь, предъявляя OpenID - что это твой URL. Никакого подтверждения со стороны того URL не требуется.

ЗЫ

[pargentum.livejournal.com]

Если приватные ключи хранятся дома, это называется Lotus Notes/Domino. Штука полезная, но, по моему, крутовато для блога.

Re: ЗЫ

[trurle.livejournal.com]

У нас тут есть идея: приватный ключ может храниться как дома, для уверенных в себе параноиков, так и на master-сервере, для людей доверяющих своим админам.

Re: ЗЫ

[trurle.livejournal.com]

Разумеется, на сервере приватный ключ лежит, зашифрованный парольной фразой.

Re: ЗЫ

[pargentum.livejournal.com]

Приватный ключ с паролем - это и есть Lotus Notes - там этот файл так и называется user.id.

Я про другое. Какую, собственно, проблему призван решить приватный ключ, и которую нельзя решить в рамках инфраструктуры типа Kerberos или даже домена Lan Manager/NT 4? Под Lan Manager я подразумеваю конструкцию, когда за каждой авторизацией от моего имени авторизующий сервер ходит на pargentum.standalone.blog и предъявляет хэш моего пароля?

[nine_k]

OpenID несколько серьёзнее: произвольный URL вбить нельзя, ибо сервер на той стороне будет строго спрошен насчёт credentials. Т.е. закладываться на него, imho, можно примерно в той же мере, в какой и на авторизацию в ЖЖ: пока авторизуемый бережёт свои credentials от чужих глаз, подделать их не слишком легко.

Но это дело десятое. Ведь что хорошо в мультиблоге типа ЖЖ? Тскзать, friends discovery. Увидел чей-то коммент, пошёл к человеку в блог, посмотрел, может, добавил себе. Притом увидел коммент что у себя, что у других -- процесс единообразен. В принципе, openid или подобное в определённой мере решает эту проблему. Но только если каждая сторона готова к сотрудничеству по стандартному протоколу (хоть тому же rss). А как у rss, скажем, с авторизацией? Особенно по openid? :-\

Re: ЗЫ

[nine_k]

AFAICT, именно по lanman-овскому пути идёт openid: авторизующийся сервер просит pargentum.standalone.blog выдать какую-нть строку, потом хэширует её с применением вбитого пароля и отсылает обратно на pargentum.standalone.blog. А тот проверяет, что хэши сошлись. Так оно в ЖЖ уже несколько лет, iirc.

Re: ЗЫ

[trurle.livejournal.com]

Возможность идентифицировать себя в реплицирующем сервере если главный сервер недоступен.

[pargentum.livejournal.com]

Да, я несколько отстал от жизни OpenID.

Ведь что хорошо в мультиблоге типа ЖЖ? Тскзать, friends discovery. Увидел чей-то коммент, пошёл к человеку в блог, посмотрел, может, добавил себе. Притом увидел коммент что у себя, что у других -- процесс единообразен.

Ну да, безусловно.

А как у rss, скажем, с авторизацией? Особенно по openid? :-\

Дык я именно про это.

Re: ЗЫ

[pargentum.livejournal.com]

В Lan Manager есть такое понятие как Backup Domain Controller.

[prool.livejournal.com]

У нормальных хостеров при расторжении договора можно получить дамп сайта и базы. Разве что ты забудешь оплатить в течение пары лет и за это время сайт успеют стереть

[pargentum.livejournal.com]

Я-то дамп получу, а вот где я его буду публиковать и где его будут искать бывшие френды?