Estoy almacenando OpenID en una base de datos para que pueda iniciar sesión en usuarios muy rápidamente. ¿Debo encriptarlos en mi base de datos?¿Debo estar encriptando OpenID en mi base de datos?
Una pregunta alternativa sería, ¿se consideran información 'sensible'?
Contrariamente a otra respuesta: No. No tiene sentido hacerlo.
Para obtener acceso a una cuenta, primero debe autenticarse con el OP. No existe un método para entrar de algún modo en la cuenta de alguien simplemente conociendo un identificador (y solo eso).
El protocolo OpenID, por diseño, permite a los usuarios colocar sus identificadores en lugares muy obvios (como su página de inicio) con un riesgo adicional pequeño. Si los identificadores estaban destinados a ser información "sensible", no sería posible delegar OpenID.
Si el hecho de que su base de datos se ha visto comprometida implicaría que un atacante tiene acceso a todas las identidades, OpenID sería realmente, realmente inseguro (y no lo es).
El identificador de OpenID es solo una url que apunta a un proveedor. A partir de esta información, no puede inferir nada más de lo que el usuario afirma ser (y en el caso de la identidad dirigida, ni siquiera eso).
Podrías preguntarte: "¿Debería encriptar los inicios de sesión?" Si su respuesta es verdadera, encripte los identificadores, porque no son diferentes. Si es falso, entonces no se moleste.
Esto debe marcarse como la respuesta correcta. Lo que dije en los comentarios fue incorrecto, y tu última línea resume bastante mejor la respuesta que la mía. Todavía creo que puede haber problemas con ciertos tipos de identificadores reclamados sin embargo. Trabajaré en ello esta noche. –
Urgh. Alguien ha publicado una respuesta incorrecta (sin ofender, @NickLarsen; saludo tu comentario anterior), y se ha votado a favor y en contra. Esto sucede con bastante frecuencia, aunque rara vez de una manera tan clara. Esto no es bueno. ¿Qué podemos hacer al respecto? ¿Hay algo que podamos hacer al respecto? ¿Stack Overflow saltó al tiburón? –
No puedo eliminarlo porque fue aceptado, pero pude editarlo. –