Summary

  • BrowserID, впоследствии Persona, давала сайтам подтверждённый адрес почты пользователя без необходимости хранить ещё один пароль для входа.
  • Mozilla прекратила поддержку 30 ноября 2016 года и закрыла размещённый сервис к концу года. В руководстве по переходу она предложила один из путей: последний раз подтвердить существующего пользователя через Persona, а затем, если сайт выбрал этот вариант, установить локальный пароль.

Адрес в базе данных указывает на нужную учётную запись. Человек, напечатавший этот адрес в форме входа, от этого ещё не становится её владельцем. Persona брала на себя вторую часть задачи. Её закрытие не стёрло пользовательские записи, зато поставило перед сайтами срок, к которому нужно было заменить доказательство владения ими.

В описании BrowserID за 2011 год Mozilla называла проект и протоколом идентификации, и службой аутентификации. По её собственной оценке, тогда им пользовались почти тысяча сайтов; это не статистика на момент закрытия. Анонс бета-версии Persona в 2012 году обещал сайтам редкое сочетание: меньше собственных паролей, но прямая связь с человеком через известный ему адрес почты.

У этого удобства была работающая инфраструктура за кулисами. Техническое объяснение Mozilla 2013 года описывает поиск поставщика по домену почты. Если он поддерживал Persona, то сам подтверждал пользователя. Иначе подключалась резервная служба Mozilla: мост к существующему входу или письмо с подтверждением. Статья посвящена исправленной уязвимости одного моста. Здесь важна описанная в ней схема; оснований считать тот сбой причиной закрытия Persona через три года нет.

Сокращение участия Mozilla шло постепенно. Протокол встречи в марте 2014 года сообщил о передаче проекта сообществу: Mozilla продолжала эксплуатационную поддержку, но прекращала финансировать новые функции. Позднее руководство для сайтов по закрытию описало поддержку работы и безопасности в 2014 и 2015 годах. Mozilla объяснила итоговое решение низким и падающим использованием и затратами на службу входа, от которой требуются безопасность и постоянная доступность. Поддержка закончилась 30 ноября 2016 года, размещённый сервис — в конце 2016-го.

Руководство перечисляет отключаемые части: сайт persona.org, подключаемый JavaScript, резервный поставщик удостоверений, мосты и размещённый проверяющий сервис. Mozilla оставила домен у себя, чтобы запросы неуспевших сайтов не попали к новому владельцу, и объявила об уничтожении данных пользователей, хранившихся у неё. Открытый исходный код оставался доступен, но репозиторий не мог отвечать на запросы входа вместо остановленной службы.

Переданный сайтам адрес почты стал практическим выходом. Это не закрытый номер, который способен понять только Persona: другая система могла подтвердить владение тем же адресом и связать посетителя со старой учётной записью. Сайтам, решившим перейти на собственные пароли, Mozilla советовала сначала провести последний вход через Persona и проверить адрес, затем задать пароль. В руководстве также есть ссылки для входа по электронной почте и передача аутентификации другому сервису. Самостоятельно разместить весь стек было возможно, но большинству сайтов Mozilla не советовала брать на себя сложный код без будущих обновлений безопасности от неё.

Последний вход был окном перехода, а не церемонией прощания. После закрытия старой проверки адрес продолжал обозначать аккаунт, но для возвращения человека требовалось новое подтверждение или восстановление доступа. Исходные документы не называют число успешных переходов и потерянных аккаунтов; это можно установить только по журналам конкретных сайтов.

Первичные документы