Open Web #2: Single-Sign-On und Portable Identitäten im Web

19. Februar 2009 um 10:50 von Mario Grobholz

In einer Reihe von Artikeln auf unserem Blog möchte ich Sie mit aktuellen Entwicklungen vertraut machen, die wir für spannend halten und von denen wir der Meinung sind, dass sie einer näheren Betrachtung und Erläuterung wert sind. Heute möchte ich Ihnen die Themen “Single-Sign-On” und “Portable Identitäten” im Web näher bringen.

Stellen Sie sich vor, dass jedes mal wenn Sie Ihren Browser öffnen Sie sich nur noch einmalig einloggen müssen und daraufhin Dienste im Internet nutzen können, ohne sich mit einem Benutzername und Kennwort bei diesen erneut authentifizieren zu müssen.

Nie wieder die Situation seinen Benutzernamen und Passwort vergessen zu haben und damit auch nie wieder das lästige Wiederherstellen eines Kennwortes über einen mehrstufige Prozess via Email.

Sie zeigen lediglich Ihre virtuelle ID-CARD vor und Ihnen wird Zugang zu dem Dienst gewährt – auf eine völlig sichere Art und Weise. Stellen Sie sich vor, Sie wollen sich für einen neuen Dienst im Web registrieren und benötigen dafür lediglich einen Klick und sind innerhalb von wenigen Sekunden mit Ihrer Registrierung fertig!

Sie müssen keine langen Formulare mit den immer gleichen Daten mehr ausfüllen, nicht erneut ihr Profilbild hochladen, nicht alle Ihre Freunde bei diesem Dienst wiederfinden und als Kontakt hinzufügen, kein schwer erkennbares Captcha mehr entziffern, sondern wenn Sie sich dazu entscheiden einen neuen Dienst zu nutzen, zeigen Sie lediglich wieder Ihre virtuelle ID-CARD vor und der Dienst erhält automatisch alle notwendigen Daten, die Sie nur noch einmal bestätigen müssen.

Das ist keine weit entfernte Zukunftsvision mehr, sondern mittlerweile technisch machbar, bereits mit dem offenen Standard OpenID standartisiert worden, (Lesen Sie dazu auch: Open is the New Black – Wie Anwender von offenen Standards profitieren) wird von einer ständig wachsenden Anzahl an Diensten unterstützt und wird dabei auch für Sie in nicht allzu ferner Zukunft integraler Bestandteil der täglichen Erfahrung im Web werden.

Wie kann Single-Sign-On im Web funktionieren?

Wenn man diese Möglichkeiten zum ersten mal einem Anwender vorführt, ist er in der Regel verblüfft darüber, wie einfach der Prozess von statten geht und fragt sich, wie das technisch eigentlich funktionieren kann?

Was sich dabei technologisch hinter dem offenen Single-Sign-On Standard genannt OpenID verbirgt – welcher heute quasi als defacto Standard bezeichnet werden kann – hat viel mit meinem letzten Artikel über “Delegated Authorization” zu tun.

Es ist nicht etwa so, dass ein zentrales Verzeichnis einfach Ihre verschiedenen Zugangsdaten für alle Ihre Dienste speichert (das wäre ein enormes Sicherheitsrisiko) – so dass Sie sich diese einfach nicht mehr merken müssen – sondern auch hier kommt das Konzept der „Delegated Authorization“ zum tragen.

Das heisst ganz einfach erklärt, dass bei jedem Dienst der Single-Sign-On mit Hilfe des Standards OpenID unterstützt, Sie sich nicht bei dem jeweiligen Dienst authentifizieren, sondern Sie werden an eine zentrale Authentifzierungs-Stelle delegiert/weitergeleitet – müssen sich dort einmalig(!) einloggen und werden dann zu Ihrem ursprünglichen Dienst zurückgeschickt und dort automatisch eingeloggt.

Bei dieser zentralen Authentifzierungstelle – auch OpenID Provider genannt – müssen Sie sich allerdings jeweils nur einmalig(!) anmelden – im Idealfall jedes mal, wenn Sie ihren Web-Browser neu starten. Ab dann reicht es völlig aus, wenn Sie sich gegenüber anderen Diensten mit Ihrer virtuellen ID-CARD, die von dieser zentralen Authentifizierungstelle ausgestellt wurde, (auch genannt „der OpenID“) identifzieren.

Dann findet – für Sie allerdings nicht mehr sichtbar und innerhalb weniger Sekunden – im Hintergrund wieder diese Überprüfung statt. Wenn dabei zwischen den beiden Diensten geklärt werden kann, dass Sie sich bei Ihrem „OpenID Provider“ bereits authentifziert haben und der sind, der Sie vorgeben zu sein, werden Sie einfach eingeloggt oder ggf. neu registriert.

Dieser Prozess ist ungefähr vergleichbar mit einem Reisepass. Dieser wird ebenfalls von einer zentralen Instanz – der Bundesrepublik Deutschland – ausgestellt und wenn sie in ein neues Land reisen (sprich eine neue Webseite besuchen) müssen sie nicht extra bei diesem neuen Land einen neuen Ausweis beantragen (wie im Web jetzt noch in der Regel der Fall), sondern dieses Land vertraut darauf, dass die zentrale Authentifizerungsstelle in der Lage ist Ihre Identität sicherzustellen, und authentifziert Sie über diese (in dem das Land eingehend die Echtheit Ihres Reisepasses und den Bezug zu Ihrer Person überprüft).

Was für jede eindeutige Feststellung einer Identität – egal ob in der realen Welt oder im Web – dafür unabdingbar ist, ist die eindeutige Identifikation einer Person. Im Fall des Reisepasses geschieht dies gleich über mehrere Merkmale: Einem Foto, der Unterschrift und seit neustem auch biometrischen Merkmalen – im Web reicht dafür eine einfache URL.

Jede URL (z.B: http://pixelsebi.com) deutet auf ein eindeutiges Ziel im Web (wie z.B. auf eine Seite, auf ein Bild oder auch ein PDF) und kann ggf. einzelnen Personen zugeordnet werden. Sollten Sie z.B. eine eigene Domain für eine private Homepage besitzen, gehört diese Domain in aller Regel Ihnen und verweist eindeutig auf Sie als Person.

Sollten Sie keine eigene Homepage besitzen, aber z.B. ein Profil bei einem Social Network haben, so hat auch dieses Profil eine eindeutige URL, die vermutlich auch Ihren Namen oder Nickname mit in die URL aufgenommen hat. Diese URL dient dazu, Sie eindeutig im Web zu identifzieren, repräsentiert Ihre persönliche virtuelle ID-CARD und wird in aller Regel von Ihrem „OpenID-Provider“ vergeben werden.

Ein OpenID-Provider kann dabei ein auf diese Funktion spezialisierter Dienst sein – kann aber auch Bestandteil eines längst von Ihnen genutzten Dienstes werden.

myON-ID ist ab sofort ein solcher OpenID Provider und bietet Ihnen genau diese beschriebenen Möglichkeiten. Wir sprechen hier von myON-ID Connect.

Mit myON-ID Connect – bzw. der damit verbundenen URL, welche auf Ihr Profil zeigt – werden Sie sich in naher Zukunft bei allen Diensten, die Single-Sign-On mit Hilfe des offenen Standards OpenID unterstützen, in den Vorzug der eingangs erwähnten Single-Sign-On Möglichkeiten kommen.

Und was ist die „Portable Identität?“

Während der reine Single-Sign-On Aspekt von OpenID bereits eine tolle Sache ist, kann mit einer OpenID noch wesentlich mehr verknüpft und damit vereinfacht werden. Wie eingangs erwähnt besteht z.B. auch bei einem Registrierungsprozess – mit Hilfe von myON-ID Connect – die Möglichkeit, dass automatisch (nach der Freigabe durch Sie als Nutzer) Daten über Sie mit übertragen werden, die der jeweilige Dienst anfordert.

Auch hier greift letzten Endes wieder die Reisepass Metapher: Auch in einem Pass sind einige weitere Angaben zu Ihrer Person zu finden, die über das reine identifizieren Ihrer Person hinaus gehen. Im Fall von OpenID sind allerdings Art und Umfang der Daten, die mit Ihrer Identität verknüpft werden können (mehr oder weniger) nicht beschränkt und lassen viel Spielraum für interessante Anwendungsfälle.

Dadurch wird es langfristig gesehen möglich werden, dass die Online Identität – die Sie bei myON-ID aufbauen – “portable” wird und überall wo Sie sich mit myON-ID Connect ausweisen können auch weitere Daten zu Ihrer Identität verfügbar gemacht werden können. Dies betrifft z.B. Daten zu Ihrer Person, Information aus anderen Diensten und Daten Ihrer sozialen Netzwerke, wenn Sie möchten, um den Prozess des “Freunde-Wiederfindes” zu vereinfachen.

Ich hoffe, dass ich Ihnen mit diesem Beitrag etwas näher bringen konnte, wie der Single-Sign-On im Web mit Hilfe von OpenID funktionieren kann und welche Vorteile dies auch im Rahmen der “Portablen Identität” mich sich bringt. Wenn Sie noch Fragen haben oder mehr zu den technischen Hintergründen wissen wollen, zögern Sie nicht in dem Blog zu kommentieren oder schicken Sie uns eine Email an blogpost@onid.de!

Bildquellen:

1. Schlüsselbund von Manuela Kostka
2. OpenID Grafik von OpenID.net
3. Passkontrolle von kirillmazin

Dieser Artikel wurde von Mario Grobholz geschrieben.
Mario Grobholz ist Gründer und Ideengeber der myON-ID Media GmbH. Der Maschinenbau- und Wirtschaftsingenieur entwickelte in den letzten 10 Jahren für führende Internet, Telekommunikations- und Medienunternehmen Internetstrategien und -konzepte. Seit 1999 plant und betreibt er erfolgreich Consumer-Portale und Social Networks u.a. bei WEB.DE, o2 und Eurosport.