Es gibt halt immer irgendwelche Angriffspunkte. Logisch, dass es sich eher lohnt eine Pishingseite für einen OpenId-Login zu bauen, daher sollte man eben genau hinschauen.
Vorteil ist, dass im Idealfall keine Passwörter mehr auf den Seiten, auf denen man einen Account besitzt, gespeichert werden. Das reduziert auch das Pishing-Problem von n Loginseiten auf eine Loginseite. Gleichzeitig verschiebt man auch die Verantwortlichkeit teilweise zum Open-ID Anbieter. Und natürlich muss man sich nur noch ein Passwort merken (wenn man zuvor idealerweise verschiedene Passwörter für verschiedene Dienste genutzt hat).
Nachteil ist, dass man dem OpenID-Betreiber vertrauen muss, da er nun die Seiten und Logindaten kennt und Sicherheitstokens generieren kann, die Zugriff auf mehrere Seiten geben. Das Authentifzierungsproblem wird also nur auf den Open-ID-Anbieter verschoben. Dem entgegenwirken kann man, indem man seine eigenen Open-ID Server aufsetzt, was für Normalsterbliche nicht praktikabel ist und womöglich andere Sicherheitslücken hervorruft. Ist man (vermutlich berechtigterweise) leicht paranoid, sollte man sich überlegen, dass derjenige, der das Token generieren kann, potenziell Zugriff auf alle damit verknüpfte Konten hat. Das ist insbesondere dann schlecht, wenn der Service unbemerkt kompromittiert ist. Es ist sicherlich auch für Sicherheitsbehörden praktikabel, wenn sie nur einen Dienstleister anfragen müssen, um Zugriff auf alle Konten zu erlangen.
Insgesamt finde ich die Grundidee zwar gut (ein Account, ein Passwort, eine Authentifizierung), wenn aber letztlich alle Daten bei einem Provider zentral gespeichert werden, muss ich dem dann doch ganz schön vertrauen. Zumindest würde ich nur Konten verknüpfen, die zu einem Informationsbereich gehören (bspw. nicht E-Mail und sonstiger Login bei einem gemeinsamen Provider). Wenn Valve umgekehrt potenziellen Zugriff auf den HLP-Account hat und GabeN mit meinem Account in den Newskommentaren herumflamet, wäre das jetzt nicht ganz so schlimm.
