Digital IDs and Identity Management

Digital IDs and Identity Management

Posts 1-6 of 6
  • Ralf Bendrath
    Ralf Bendrath
    The company name is only visible to registered members.
    Probleme von OpenID
    Der von vielen Beratern verbreiteten Sichtweise, dass OpenID der "Identity 2.0"-Standard der Zukunft wird (aufgrund der Unterstützung durch MSFT, AOL etc.) und man sich dem deswegen anschließen *muss*, möchte ich inhaltlich etwas entgegensetzen. OpenID hat schwere Design-Probleme, daher sollte jeder, der daran denkt es zu nutzen (ob als Endanwender oder als Webseiten-Betreiber) gründlich über die Risiken und Useability-Haken nachdenken. Als Privacy-Forscher finde ich es jedenfalls überhaupt nicht empfehlenswert, und als Nutzer ist es mir viel zu kontraintuitiv.

    Ich habe die verschiedenen Kritikpunkte kürzlich auf englisch zusammengefasst und sogar ein paar Illustrationen dafür gefunden: http://bendrath.blogspot.com/2007/04/openid-next-big-thing-w....
    Kommentare sind dort oder hier wie immer willkommen.

    Schöne Feiertage,

    Ralf Bendrath
    • 06 Apr 2007, 1:45 pm
  • Post visible to registered members
  • Ralf Bendrath
    Ralf Bendrath
    The company name is only visible to registered members.
    Re^2: Probleme von OpenID
    Hallo Herr Belikan,

    Generell kritisieren Sie in ihrer Haltung die zentrale Speicherung von persönlichen Daten durch Dritte. Das ist die generelle Skepsis von Datenschützern, in der Tat. Ich habe mich hier alerdings spezifisch auf OpenID bezogen und daher auch auf meinen Blog-Eintrag dazu verlinkt. Das neue CardSpace-Konzept von Microsoft etwa ist viel bewusster auf datenschutzfreundliche Technik hin entwickelt worden, auch wenn dort noch einige Fragen offen sind.

    In dem Moment wenn Daten "irgendwohin" gesendet werden, können diese auch gespeichert werden. Egal ob über OpenID oder sonst irgendein Dienst diese Daten empfängt. Ganz so trivial ist es nun doch nicht. OpenID ermöglicht, dass prinzipiell alle meine Äußerungen und Aktivitäten im Netz auf mich zurückgeführt werden können, und das unabhängig von spezifischen Rollen, die ich in spezifischen Kontexten spiele. (lesenswert dazu: Helen Nissenbaum zu "Privacy as Contextual Integrity", bei ssrn.org.) Übrigens: Das WWW von Tim Berners-Lee hatte in Version 1.0 noch überhaupt keine Anmelde- oder Identifizierungsfunktionen vorgesehen. Für die Web-Anbieter gab es zwar das Whois-Verzeichnis des DNS (über dessen Privacy-Probleme ja seit Jahren bei ICANN gestritten wird), aber der Surfer war anonym.

    Also, Privacy ist ein generelles Thema und keines von OpenID. Privacy ist natürlich auch ein Thema von OpenID, und hier ist es eben schlecht gelöst. Es hängt bei solchen Sachen ja gerade vom spezifischen Design der Technik ab, wie datenschutz- oder überwachungsfreundlich sie sind.

    Übrigens startete Thomas Huhn eine separate Diskussionsgruppe zu OpenID unter https://www.xing.com/net/openid Danke für den Hinweis, ich habe mich gerade angemeldet.

    Grüße, Ralf Bendrath
    • 10 Apr 2007, 01:45 am
  • Frank Thilo Müller
    Frank Thilo Müller    Premium Member   Group moderator
    The company name is only visible to registered members.
    Re^3: Probleme von OpenID
    Hallo,

    haben Sie für jemanden mit einer Architekturbrille ein paar Weblinks, damit ich mir mal den Prozess/die Architektur näher ansehen kann um die "Designschwächen" besser zu verstehen ?

    Ich habe zwar jetzt verstanden, was ich mit OpenID machen kann - aber nicht, wie es funktioniert :)

    Google sagt:

    http://corepulse.de/www/node/92

    :)

    Vielen Dank,
    Thilo Müller
    This post was modified on 13 Apr 2007 at 11:53 am.
    • 13 Apr 2007, 12:12 am
  • Post visible to registered members
  • Frank Thilo Müller
    Frank Thilo Müller    Premium Member   Group moderator
    The company name is only visible to registered members.
    Re^5: Probleme von OpenID
    Herzlichen Dank Herr Hessmann ! :)

    Interessant sieht auch

    http://www.cl.cam.ac.uk/~sjm217/misc/openid-protocol.pdf

    aus.

    Spannend. SAML light sozusagen. Dezentral... Diffie Hellmann, was auch sonst zur Aushandlung des Schlüssels. Wie bekommt man das Man-in-the-Middle-sicher.....

    Gibts eine preshared secret/key zwischen den openID Server und den Zielservern ?

    Gibts da H-MACS wie beim SSL Handshake ? Integritätsüberprüfungen ?

    Freche Ironie ein :
    "Die Idee scheint zu sein, wir machen es erstmal ohne Security mit minimalen Anforderungen. Und wir bieten Sicherheit optional an. Also "openID standard" und "openID gold inklusive Sicherheit". Wenn wir dann einen verbreiteten Standard haben und genug Sicherheitsprobleme da sind, können wir noch starke Authentifizierung optional anbieten bzw. Verschlüsselung und Integritätsüberprüfung."

    Ich werde mich mit dem Thema bei Gelegenheit näher beschäftigen, das waren lediglich meine ersten lauten Gedanken :)

    Die nehmen doch nicht wirklich Cookies oder ? :)
    This post was modified on 14 Apr 2007 at 01:10 pm.
    • 14 Apr 2007, 12:45 pm