Ablauf einer OpenID-Authentifizierung

Ausgangspunkt einer OpenID-Authentifizierung ist der Login des Benutzers auf der Website der Relying-Party. Im Gegensatz zur herkömmlichen Authentifizierung mittels Benutzername und Passwort befindet sich auf OpenID-unterstützenden Websites ein Eingabefeld für die OpenID-URL des Benutzers. Dieses Feld ist üblicherweise durch das OpenID-Symbol gekennzeichnet, um die Erkennung zu erleichtern und eine konsistente Benutzerführung zu gewährleisten.

Beispiel einer Loginseite, die sowohl die Anmeldung mit OpenID als auch mit Benutzername und Passwort ermöglicht.

Der Benutzer gibt seine OpenID-URL ein, daraufhin leitet ihn die Relying-Party zur eigentlichen Authentifizierung an den zuständigen Identity-Provider weiter. Nachdem der Benutzer sich bei seinem Identity-Provider authentifiziert hat, kann dieser die Anfrage der Relying-Party beantworten. Das Sequenzdiagramm verdeutlicht diesen Ablauf.

Austausch der Benutzerdaten

Zusätzlich zur Authentifizierungsbestätigung können auch Benutzerdaten ausgetauscht werden, sofern der Identity-Provider die Erweiterungen „Simple Registration“ oder „Attribute Exchange“ unterstützt. Der genaue Ablauf des Vorgangs ist von der Implementierung auf Seiten des Identity-Providers abhängig, läuft allerdings üblicherweise nach folgendem Muster ab: Der Benutzer wird nach dem Login nicht direkt an die Relying-Party weitergeleitet, sondern bekommt eine Seite präsentiert, auf der er die von der Relying-Party angeforderten Attribute sieht und entscheiden kann, welche er freigeben möchte. Im Anschluss daran wird der Benutzer wie beim normalen Authentifizierungsvorgang an die Relying-Party weitergeleitet. Dabei enthält die Antwort des Identity-Providers neben der Authentifizierungsbestätigung auch die vom Benutzer freigegebenen Informationen.

Simple Registration

Die Protokollerweiterung „Simple Registration“ (SReg) wurde entwickelt, um Profildaten des Benutzers zu übertragen und dadurch den Registrierungsvorgang bei einer Relying-Party zu überspringen. Bei der Authentifizierungsanfrage an den Identity-Provider kann die Relying-Party zusätzlich folgende acht Attribute anfragen: Benutzername, E-Mail-Adresse, Name, Geburtsdatum, Geschlecht, Postleitzahl, Land, Zeitzone und Sprache. Dabei wird außerdem festgelegt, welche der Attribute für eine Registrierung des Benutzers erforderlich und welche optional sind.