Controllo di protezione Opinioni su identità, parte 1

Jesper M. Johansson

Contenuto

Che cos'è un'identità?
Il problema di identità
L'autenticazione dell'identità
I cointeressati identità
Utilizzando l'identità
Identità come numero si hanno?
Principi di identità
1. Il provider di identità è almeno riservato come l'entità relying più sensibile.
2. Consentire l'organizzazione per proteggere le relazioni cliente e proprietario e le informazioni che deems come aziendali riservata del controllo.

Un concetto molti di noi pensato avevamo un buon punto di manipolazione su mantiene proveniente i giorni di questi: identità. Con velocità di unrelenting è sono visualizzati diversi nuovi identità progetti, più sotto forma di alcuni tipi di sistemi distribuiti identità e/o qualcosa che infine sostituirà le password. Questi sistemi tutti dispongono di un obiettivo di base, per sostituire plethora delle combinazioni di nome utente e password tutti dobbiamo ricordare con un'unica identità. Questi nuovi sistemi potrebbero invece offrono una identità che ci accesso a tutti gli elementi.

Come è possibile esaminare le password 127,128 È memorizzati nel mio Protezione password, Ritengo che effettivamente suoni molto interessante. E ogni volta che è possibile passare a qualsiasi proprietà di Microsoft e mi, richiesto per il Windows Live ID e password, è possibile realizzare che abbiamo anche un modo molto lungo per passare prima di raggiungere un mondo di accesso singolo (SSO).

Identità, tuttavia, è un concetto nebulous e oft misunderstood uno. In questo articolo, È possibile disporre alcune idee su identità e principi che un sistema di identità deve soddisfare. Non si dispone di sufficiente capelli grigio ancora per vesti che questi sono Leggi fondamentali che devono rispettare questi sistemi. È possibile, tuttavia, ritiene che qualsiasi sistema di identità che non riesce a rispettare tali principi avrà esito negativo in giudizi di opinione consumer, nonché in quello di supporto dell'organizzazione e distribuzione. Un sistema di identità, come teoricamente esteticamente possono essere, infine specificare il valore per un'azienda e per un utente se verrà abbia esito positivo.

Che cos'è un'identità?

Un'identità, semplicemente inserire, è una rappresentazione astratta di un'entità in un sistema di computer. Filosofia definisce come il sameness delle seguenti operazioni. Due o più operazioni sono identici se sono uguali. Sì, che sarebbe necessario qualificare come una definizione circolare elevata. Pertanto, al contrario, si supponga che identità indica che un'entità è definibili e riconoscibili. Forse è più semplice:

(P=Q)→(P=Q)

Che è la definizione base dell'identità di symbolic logica. P è uguale alla DOMANDA Se P è la stessa operazione D. Restated in modo leggermente diverso se Peter è Peter chiaramente Peter è Peter. A questo punto, è un modo per Peter dimostrare che collega (?) è in realtà Peter.

I metodi dell'attestazione di identità sono estremamente interessanti in sistemi digitali. Nel mondo digitale è avere una definizione leggermente diversa dell'identità da quello in symbolic logica. In suo articolo seminal" Leggi di identità" Kim Cameron definisce identità digitali come "un set di attestazioni apportate da un oggetto digitale su se stesso o un altro oggetto digitale".

Che è una definizione diversa da quella logica pura. La definizione di logica pura è semplicemente che sono. Directory nel mondo digitale identità principale di attestazioni che si desidera presentare. In altre parole, un'identità digitale non è utente, ma invece che si desidera essere. In un'identità digitale sistema, come lungo come Peter o chiunque dichiara di essere Peter, può fornire una prova accettabile della che attestazione basata su (ovvero il possibile autenticare l'attestazione basata su), è necessario accettare identità Dell'peter. Le attestazioni che Cameron riguarda sull'sono essenzialmente un manifestazione dell'identità. Quelli sono authenticators Peter o chiunque deve essere Peter, è presentare.

Essa risiede il problema primo di identità. Identità digitali non corrisponde un'identità ontological (in senso philosophical), ovvero una rappresentazione di un'entità reali che esiste effettivamente. Identità digitali è temporanea. Identità digitali è incompleta. Identità digitali è facoltativo. E, più interessante di tutti, una singola entità fisica possono presentare molti set di attestazioni diversi e, avranno pertanto molti identità digitali diverse. Identità digitali sono molto probabilmente più utili non hanno una corrispondenza 1: 1 a un'entità ontological.

Il problema di identità

Un concetto di riconoscere attestazioni identità digitali causa molti problemi interessanti. Prima è il fatto che un'identità disponga di un prezzo. È possibile acquistare una completamente nuova identità per solo pochi dollari delle migliaia. Per denaro che è possibile ottenere un funzionante social security number insieme con un indirizzo valido che è possibile modificare. Può essere avuti con licenze del driver, carte di credito, passports e il resto. Se si desidera che un'identità con una cronologia personale verificabile, che verranno probabilmente costi piuttosto un po'più.

Alcuni utenti, inclusi manuale, richiedere che ciò significa che ontological identità è inutile come è correlato a sistemi di identità digitali. Personalmente, ritengo identità true (o almeno, correttezza dell'identità) per essere irrilevante e uninteresting quando si utilizzano nel contesto di un sistema digitale. Per la maggior parte delle applicazioni, identità significa semplicemente che è possibile rientrare in modo coerente. Se si è in grado di presentare la stesse risiede a me oggi eseguite due settimane fa, è desidera assunto che sono la stessa persona o entità/computer e consentono di qualsiasi accesso concesso all'utente ultima.

Dato che true, ontological identità è non solo temporanea, ma irrilevante la maggior parte delle applicazioni, è possibile non attenzione sull'associazione è a un'entità del mondo reale. Sufficiente correlazione, identità fisico non ha valore true, per scopi la maggior parte dei. Qualsiasi applicazione che si basa sull'associazione di identità a un'entità fisica e non modificabile è doomed dall'inizio e affidarsi a una connessione sicuro significa sempre si effettuano gli errori e saranno sempre critici. Qualsiasi persona reale possibile undermine sistema semplicemente da posizione o ritenuta d'acconto le attestazioni di identità o, naturalmente, condividendo tali (involontariamente o deliberatamente) con un'altra entità.

Creando un sistema che (1) si basa il presupposto che le identità richiesto sia fake e (2) che tentativi semplicemente per correlare le identità tra sessioni, è invece possibile creare un sistema molto più flessibile, utile e importante. E abbiamo sprecare molto meno risorse tentativo di risolvere un problema che, in Cronologia, nessuno è stato in grado di risolvere senza outrageous violazioni di privacy personali.

L'autenticazione dell'identità

Un altro problema con identità è che identità per sé non che è possibile utilizzare. Ancora, in cronologia, le identità sono spesso state adottate per concesso, senza autenticazione. In vettore di INIZIALIZZAZIONE Henry del Shakespeare, è disponibile un passaggio in cui viene visualizzato un carattere, "mi Robert shallow, sir, una scarsa esquire di questa provincia e uno dei justices del the peace il re." Il carattere a cui è stato parlare shallow Giustizia curiously, ha richiesto l'attestazione di identità come verità con senza ulteriori verifica. Tornare nei moduli precedenti della documentazione, ad esempio Sagas Norse, e sarà possibile trovare simile attestazioni di identità apportate da Thor e Odin, ognuno dei quali sono stati accettati immediatamente senza domanda.

Se si dispone solo un occhio, riding su un steed legged otto e richiedere da Odin, uno chiaramente, potrebbe affermare che è stato fornito certa quantità di verifica dell'identità. Tuttavia, su Internet, è impossibile utilizzare mount che è ride come verifica dell'identità. Come la vecchia va pronunciare, "in Internet nessuno sa si un cane." Di conseguenza, non autenticate attestazioni di identità non sempre vengono accettate. Di conseguenza, è necessario autenticare in qualche modo identità.

"Ay, c'il rub." (Hamlet). All'utente come si dimostrare la propria identità? Dopo tutto, il modello dell'identità dell'utente prova è così importante, ad esempio più pertanto, come l'identità effettiva. Pertanto, come è dimostrare identità? Il metodo che viene utilizzati per utilizzare è un tipo di autenticazione segreto condiviso, noto come password. Su 14 febbraio 2006 Microsoft presidente Bill Gates dichiarato password sarebbe andate dove posizionare i dinosauri in tre per quattro anni.

Ma come è possibile scrivere questo 2009 marzo, è molto chiaro che fatturare è errato. SI dispone di più password adesso più HO avuto in febbraio 2006. Solo al lavoro, ho la password di rete, la password di UNIX, la password per la spesa di reporting di sistema, la password per il sistema HR, password per il broker azionario società e vantaggi provider, le password principale per mio computer di sviluppo e alcuni server, le password di amministratore per i computer portatili, il PIN per telefono e un paio di estranei password per accedere ai prodotti società come utenti diversi. Tuttavia, nonostante problemi password così tante, possibile honestly dico che effettivamente non desidero password sono stati inattivi. Non sono effettivamente un'attestazione di autenticazione non valido.

Che cosa è stato pensando Bill Gates? Ha pensato, tre anni fa, che a questo punto InfoCard sarebbe sono sostituite tutte le password. InfoCard che era eventualmente rinominato Windows CardSpace è un tipo di tecnologia di autenticazione spedito in Windows Vista e versioni successive in Windows XP SP3.

Punti di passare a qualsiasi utente che ha mai creato un biglietto. Sarà credito aggiuntiva se si trova un singolo sito Web che accetta una credenziale Windows CardSpace. Se si desidera provare a, è possibile utilizzare parte in un test beta di InfoCard per Windows Live.

I cointeressati identità

Esistono, naturalmente, altri modi per autenticare un'identità. Alcuni sono più utili in determinate situazioni. Per capire dove, è necessario comprendere la differenza tra i cointeressati in un sistema di identità.

Un provider di servizi di identità è alcuni entità che fornisce un servizio per le altre parti. In genere, il provider contiene il database di identità e autentica gli utenti finali di identità. In genere, il provider non è una persona. Di conseguenza, il provider può gestire molto più grande volumi di dati strutturati più un possibile persona. Ad esempio, un provider può utilizzare un segreto condiviso di lunghezza arbitraria per dimostrare la propria identità. Pertanto le credenziali utilizzate per autenticare l'identità di un provider di identità possono spesso essere molti ordini di grandezza più cosa che È possibile memorizzare complessi. Di conseguenza, è potenzialmente molti ordini di grandezza maggiore protezione. Dico "potenzialmente" poiché se effettivamente è dipende notevolmente come vengono gestiti i segreti. Non esegue valida per un segreto di 4096 bit provare la propria identità se non si effettivamente mantiene a segreta.

Provider di identità è molto semplice utilizzare costrutti quali certificati digitali di autenticarsi. Un certificato digitale è semplicemente un relativamente sizeable blocco (una coppia di migliaia di byte) di informazioni strutturate. Un computer con facilità può inviare che come parte di ogni transazione. Che, tuttavia, non sarebbero troppo thrilled per è stato necessario immettere per l'autenticazione per una transazione.

L'utente finale è l'entità deve disporre della propria identità asserita. Molto spesso, l'utente è una persona, ma che non è sempre la distinzione tra maiuscole e minuscole, l'utente può anche essere un computer. Di conseguenza, qualità delle attestazioni che l'utente può presentare varia notevolmente.

Infine, c'è la parte relying. L'entità relying è l'entità che considera attendibile il provider di identità per verificare l'utente prima di fornire alcuni servizi utente. L'entità relying quasi sempre è un sistema di computer. Al punto che l'entità relying dimostra la propria identità al provider di identità e un utente, è possibile farlo con altrettanto sicuro attestazioni come provider di identità utilizzato.

È importante tenere presente che un utente in uno scenario è spesso un'entità relying in un'altra. Se l'utente è un componente software o ha di una parte di software, l'utente può facilmente riguardano gli stessi tipi di dati strutturati come provider. Vale a dire perché distribuito identità protocolli, ad esempio OAuthe la parte specifiche protezione varie di WS-* concentrarsi molto significativa quantità di dati strutturati per l'autenticazione, si principalmente occupano principalmente sui servizi di autenticazione tra loro. Anche quando tali specifiche gestire direttamente utenti, tendono a essere brokered tramite servizi in grado di gestire i dati strutturati per conto degli utenti. Spesso il broker è semplicemente un'applicazione sul computer dell'utente.

Utilizzando l'identità

Il concetto che un utente di una persona utilizza un computer come intermediario quando si accede a servizi da un'entità relying è molto importante. Passa il fulcro di come rendere utilizzabile dagli utenti, a differenza di sistemi di identità. Sfortunatamente, diverso InfoCard, finora rilevato poco successo, alcuni sistemi effettivamente indirizzo tale argomento. Una misura grandi dimensioni, il flusso di processo quando una persona fisica utilizza un servizio di identità per ottenere accesso a un elemento simile figura 1 .

Figura 1, flusso di processo dell'utilizzo di un servizio di identità

Si noti la casella "quindi A Miracle Occurs" (TAMO). Gli aspetti i sociotechnical del sistema, come è consentire utenti di sfruttare le, è in cui un sistema è veramente modificate o interrotto.

Sono stati molti tentativi di risoluzione del problema TAMO. Più documentazione sulla causa di incongruity cui su Internet che si desidera utilizzare identità sicuro, in genere basato certificati ma gli utenti collegati in modo permanente alcuna digitarli in ogni volta che è necessario accedere un servizio. Microsoft Passport Network, attualmente chiamato Windows Live ID, è il primo tentativo di. Google è immessi fray con relativo account di Google e sono presenti altri utenti, nonché. Anche Windows CardSpace può essere detto stati un tentativo di risolvere il problema. Tutti sono progettati per fornire un livello di Single Sign-on. Tutti hanno completato, gran parte, in questo modo, all'interno dei domini intestati i vari purveyors delle soluzioni particolare. Tutti i non sono riusciti quasi completamente di fuori dei domini loro purveyor.

Nella parte restante di questo articolo e parte 2 verrà risolvere questo problema in modo più dettagliato. Si noti che è possibile non purport per risolvere il problema, ma semplicemente per sottolineare alcuni dei motivi perché nessuno altro ha ancora risolto il problema sia. Infine, verrà raggiungono un insieme di principi che ritiene che deve seguire qualsiasi soluzione a questo problema. Che, a sua volta, causerà una conclusione che informa che, per riepilogare il, identità ontological può solo un sogno pipe.

Identità come numero si hanno?

La grande sfida relativamente a identità non è in la creazione di un sistema di identità che può fornire Single Sign-on, anche se che in cui la maggior parte dello sforzo tecnico verrà. Non si tratta anche in rendendo la soluzione facilmente funzionino e utilizzabile, in cui, sfortunatamente, semplice verrà. La richiesta è che gli utenti dispongano oggi molte identità. Come menzionato sopra, ho anche oltre 100. Su base giornaliera, È necessario utilizzare almeno 20 o 25 di quelle. Probabilmente gli utenti sono un numero eccessivo di identità, ma non viene considerato che una conclusione foregone.

Il purist ora potrebbe dire che "Single Sign-on consente di correggere questo problema." Tuttavia, RITENGO non che è verificato un problema. Almeno non è il problema di grandi dimensioni. MI piace con molti identità. Con molti identità significa che È possibile posizionare certezza che i vari servizi che utilizzare Impossibile correlare le informazioni. Non si dispone fornire il mio provider di posta elettronica mia identità di Service broker titoli, né È necessario assegnare mia società di carte di credito l'identità che utilizzare in un sito di acquisti in linea preferito. E solo determinare l'identità da che utilizzare per la foto condivisione sito. Con più identità mi consente mantenere la durata e la privacy, compartmentalized.

Inoltre, se la società di carte di credito ottenere la stessa illecitamente, tutte le altre identità coinvolte. Se disponeva di un'unica identità, che può o non essere il caso, a seconda della modalità di implementazione tale identità singolo. Un sistema Single Sign-on implementato correttamente non sarebbe mai espongono un sito che utilizza il sistema di un errore di un altro sito correlato. Tuttavia, imporre tale separazione non è semplice e se il provider di identità è compromessa, ogni sito dipende automaticamente è compromessa.

Questo punto secondo è un motivo perché i sistemi di identità digitali descritto Cameron, finora, riusciti per diventare il provider di identità universale singolo, qualsiasi provider di identità singolo è un'entità estremamente riservata.

Principi di identità

Esistono diversi principi di identità che devono essere soddisfatti in almeno un modo per fornire un sistema di identità digitali esito positivo. Questi sono molto diversi dalle leggi che Cameron indicati nella pagina Leggi di identità. Leggi del Cameron erano principi di progettazione, use case, più o meno, che essenzialmente di definire requisiti tecnici per un sistema affidabile identità digitali. Di conseguenza, sono un insieme di criteri necessari ma insufficienti per esito positivo. Mentre molti sistemi possono essere progettate per soddisfare o superare leggi del Cameron, RITENGO non che uno qualsiasi dei loro sarà ampiamente completato senza eseguire inoltre in considerazione i principi che definire qui. I principi sono i principi di livello superiore, con i requisiti aziendali, non con punti di progettazione diretto del sistema.

1. Il provider di identità è almeno riservato come l'entità relying più sensibile.

In primo luogo, come detto in precedenza, il provider di identità è considerato attendibile da tutte le parti. Ecco perché è fare riferimento alla loro come "parti relying". Ciò significa che il provider di identità deve essere protetto almeno anche se l'entità relying più sensibile richiesto. In questo punto singolo è perché molti dei sistemi universale candidato sono Impossibile creare sistemi SSO raggiungere ampia, la relazione di trust semplicemente non è disponibile. Anche se la relazione di trust è warranted, è difficile eccezionalmente dimostrare il motivo per cui una parte deve considerare attendibile un altro.

Si si considera attendibile il provider di posta elettronica con i dati del conto bancario e tutti i dati del conto? Se la risposta è "No", è consigliabile non attendibile per fornire l'identità che utilizzi per accedere la banca. Consumer sono oggi deluged da software non affidabili, termini popup e fornitori di applicazioni antimalware (legittimi e non in modo legitimate che attestazione che è non è probabilmente navigare in Internet in modo sicuro a meno che non si paga le. Di conseguenza e piuttosto corretto, per scegliere i consumer trust quasi nessuno. Le organizzazioni alcuni oggi sono sufficientemente attendibile da provider di identità candidati per altre organizzazioni. Creazione di questo tipo di relazione di trust non economiche. Mantenere è una proposta imballi. E ad esso nuovamente dopo persi a causa di una violazione è quasi impossibile.

Se mai vedremo una società che fornisce un sistema di identità digitali universale esito positivo, risulterà da una società che ha ottenuto un livello molto elevato di attendibilità. Aspetto interessante è che molti dei lettori nello spazio di provider di identità non molto elevati, alto nei sondaggi o non vengono visualizzati affatto (vedere quinto annua sondaggio ’s Institute Ponemon di società più attendibile per la privacy).

2. Consentono dell'organizzazione per proteggere le relazioni cliente e per proprietario e le informazioni che deems come aziendali riservata del controllo.

Chiunque abbia un MBA sa che esistono tre modi per eseguire con un'azienda: è il prodotto più innovativo o avere il prezzo più basso oppure excel dalla intimacy cliente (o combinazione di tutti e tre). Aspetto interessante è che è interessato praticamente ogni business nel secondo scenario: intimacy cliente. Le relazioni cliente, soprattutto in un'azienda in linea, sono sacred! In un mondo passando i costi in cui sono accanto a Nessuna, dove tutti gli utenti garantisce (per alcuni definizione che fa distinzione tra maiuscole e separati e indica di "garanzia") il prezzo più basso e stesso prodotto è disponibile ovunque, chiave relazioni diventare cliente. Anche in cui innovazione verificarsi, ad esempio in rete sociale e il provider di posta elettronica, è comunque critico connessione cliente.

Uno dei motivi principale perché non sito Web di grandi dimensioni accetta le credenziali da un'altra società (o un'altra società che non è stato utilizzato per proprietari di essi, come nel caso di Expedia) è che esso dilutes la relazione con i clienti. Si supponga, ad esempio, se Yahoo ricevuto semplicemente un'attestazione da NetIdentitiesRUs, Sì realmente è cliente 923071235309342-2 solo firma di. Yahoo non è più necessario proprietario database dei propri clienti. Non si sa che il cliente effettivamente. Yahoo non Impossibile non più gestire il cliente e il sistema di quella che desidera. È possibile non scopo ricerca cliente incrociata verifica l'identità con i database nel relativo filiali e acquisizioni. Impossibile non anche vendere le informazioni a terze parti per i ricavi aggiuntivi (deve desidera ed era i clienti scelto, ovviamente). Chiaramente, Yahoo non sarebbe particolare interessa fornendo tutti i i e, di conseguenza, sarebbe necessario alcuni incentivi eccezionali a tale scopo.

Ora supponga invece che su Yahoo è il provider di identità. Yahoo per ottenere informazioni su esattamente dove cliente 923071235309342 2 cessi la sua sul Web poiché sa esattamente quali siti richiedono attestazioni per tale cliente. Yahoo Impossibile compilare dati prezioso in abitudini di esplorazione quel cliente, consente annunci pubblicitari eccezionalmente well-targeted con tassi di clic through, astonishingly elevati. Per un'organizzazione funded annuncio e in particolare quello effettivamente all'azienda annuncio stesso, che è un vantaggio competitivo che solo non è possibile concedere i.

Attendibilità identità fornita da altre società sarà equivalente a assegnando le opportunità di grandi dimensioni. Fornendo un proprio ad altri utenti potrebbe essere passare su di esso. In altre parole, non c'è un conflitto e il risultato è esattamente ciò che abbiamo visualizzazione sul Web oggi. In conglomerates, è visualizzare una identità universale e mentre tutti conglomerates principali sono anche provider di identità, quasi nessuno si basa su tali.

Questa analisi punta a un asimmetria fondamentale di provisioning di identità. In corso il provider di identità e alcun valore a tutti in corso l'entità relying è notevole valore. A meno che il mercato può prevedere consentono uguale due, si continuerà a vedere tanti provider di identità come parti relying, con praticamente una relazione 1: 1 tra di esse.

Verificare nuovamente il prossimo mese quando sarà osservare i principi rimanenti di questa serie da due parti.

Jesper Johansson m è architetto software di protezione principale per una società di aziende Fortune 200 nota, lavorando obiettivi di protezione di base dei rischi e strategia di protezione. È inoltre un redattore di TechNet Magazine. Suo lavoro è costituito da garantire la protezione in alcuni dei sistemi più grandi e più distribuiti nel mondo. Contiene un Ph.d in Management Information Systems, ha oltre 20 anni esperienza nella protezione di ed è un MVP di protezione dell'organizzazione. Il suo ultimo libro è il Windows Server 2008 Security Resource Kit.