Karta informacyjna

I-karty pokazane w programie Windows CardSpace Identity Selector

Karty informacyjne to osobiste tożsamości cyfrowe, z których ludzie mogą korzystać online, oraz kluczowy element metasystemu tożsamości . Wizualnie każda i-karta ma obrazek w kształcie karty i powiązaną z nią nazwę karty, co umożliwia ludziom organizowanie ich tożsamości cyfrowych i łatwy wybór tej, której chcą użyć do dowolnej interakcji. Metafora karty informacyjnej jest realizowana przez selektory tożsamości, takie jak Windows CardSpace , DigitalMe czy Higgins Identity Selector .

Metasystem tożsamości to interoperacyjna architektura tożsamości cyfrowej , która umożliwia ludziom posiadanie i wykorzystywanie zbioru tożsamości cyfrowych w oparciu o wiele podstawowych technologii, implementacji i dostawców. Korzystając z tego podejścia, klienci mogą nadal korzystać z istniejących inwestycji w infrastrukturę tożsamości, wybierać technologię tożsamości, która najlepiej im odpowiada, i łatwiej migrować ze starych technologii do nowych bez poświęcania interoperacyjności z innymi. Metasystem tożsamości opiera się na zasadach zawartych w „Prawach tożsamości”.

Przegląd

Karty informacyjne wyświetlane w programie DigitalMe Identity Selector

z tożsamością cyfrową za pomocą kart informacyjnych bierze udział trzech uczestników :

  • Dostawcy tożsamości wystawiają Ci cyfrowe tożsamości. Na przykład firmy mogą wystawiać tożsamości swoim klientom, rządy mogą ręczyć za tożsamość swoich obywateli, wydawcy kart kredytowych mogą dostarczać tożsamości umożliwiające płatności, usługi online mogą udostępniać zweryfikowane dane, takie jak wiek, a osoby fizyczne mogą wykorzystywać samodzielnie wydane tożsamości do logowania na strony internetowe.
  • Strony ufające (RP) akceptują tożsamości za Ciebie. Usługi online, z których korzystasz, mogą akceptować wybrane przez Ciebie tożsamości cyfrowe i wykorzystywać dostarczone przez nie informacje w Twoim imieniu, za Twoją zgodą.
  • Podmiot to Ty, strona kontrolująca wszystkie te interakcje. Podmiot może wybrać, której ze swoich odpowiednich tożsamości cyfrowych będzie używać ze stroną ufającą.

Selektory

Microsoft Windows CardSpace selektora tożsamości

Selektor tożsamości służy do przechowywania, zarządzania i używania ich tożsamości cyfrowych. Przykładami selektorów tożsamości są Microsoft Windows CardSpace , DigitalMe projektu Bandit oraz kilka rodzajów selektorów tożsamości z projektu Higgins Fundacji Eclipse .

Selektor tożsamości wykonuje następujące zorientowane na użytkownika zadania zarządzania tożsamością:

  • Zapewnia spójne środowisko użytkownika w zakresie uwierzytelniania (a w niektórych przypadkach innych rodzajów interakcji) z dostawcą usług (znanym również jako dostawca usług).
  • Zapewnia interfejs użytkownika , który wyświetla zestaw ikon kart informacyjnych, z których użytkownik wybiera preferowaną i-kartę, gdy wymagana jest autoryzacja przez lokalną aplikację lub stronę ufającą (np. strona logowania do witryny).
  • Udostępnia interfejs użytkownika do tworzenia i zarządzania osobistymi kartami informacyjnymi (znanymi również jako wydawane samodzielnie ).
  • Zapewnia lokalną usługę tokenów zabezpieczających, która służy do wydawania tokenów zabezpieczających dla osobistych i-kart.
  • Zapewnia interfejs użytkownika do importowania i eksportowania kart informacyjnych w standardowych formatach plików.
  • Jest wywoływany przez rozszerzenie przeglądarki lub lokalną rozbudowaną aplikację kliencką.

Selektor tożsamości może również umożliwiać użytkownikowi zarządzanie (np. tworzenie, przeglądanie, aktualizowanie i usuwanie kart w ramach) portfela i-kart.

Metasystemy tożsamości

Istnieje pięć kluczowych elementów metasystemu tożsamości:

  • Sposób reprezentowania tożsamości za pomocą oświadczeń. Oświadczenia są przenoszone w tokenach zabezpieczających zgodnie z WS-Security .
  • Sposób negocjacji dla dostawców tożsamości, stron ufających i podmiotów. Dynamiczne negocjowanie oświadczeń, które mają zostać dostarczone, oraz używanego formatu tokenu zabezpieczającego umożliwia metasystemowi tożsamości przenoszenie dowolnego formatu tokenu i wszelkiego rodzaju oświadczeń potrzebnych do interakcji tożsamości cyfrowej. Negocjacje odbywają się przy użyciu instrukcji WS-SecurityPolicy wymienianych przy użyciu usługi WS-MetadataExchange .
  • Protokół kapsułkujący w celu uzyskania roszczeń i wymagań. Protokoły WS-Trust i WS-Federation służą do przenoszenia żądań tokenów bezpieczeństwa i odpowiedzi zawierających te tokeny.
  • Środek do pokonywania granic technologicznych i organizacyjnych za pomocą transformacji oświadczeń. Usługi tokenów zabezpieczających (STS) zgodnie z definicją w WS-Trust służą do przekształcania zawartości i formatów roszczeń.
  • Spójne wrażenia użytkownika w wielu kontekstach, technologiach i operatorach. Osiąga się to za pomocą oprogramowania klienckiego selektora tożsamości, takiego jak Windows CardSpace, reprezentującego cyfrowe tożsamości należące do użytkowników jako wizualne i-karty.

Cechy ogólne

  • I-karty są tworzone przez podmiot znany jako wystawca .
  • Karty I wyświetlają nazwę wystawcy ( issuerName ) w postaci ciągu tekstowego.
  • I-karty mają ciąg tekstowy identyfikujący kartę ( cardName ), który jest początkowo ustawiony przez wystawcę karty. Zwykle ta nazwa karty jest edytowalna przez użytkownika.
  • I-karty mogą mieć obraz tła ( GIF lub JPEG ) ( cardImage ) ustawiony przez wystawcę karty (edytowalny przez użytkownika).
  • W większości i-kart użytkownik jest w stanie zobaczyć wartość roszczeń.

Możliwości logowania

Grafika służąca do wskazania obsługi karty informacyjnej

Korzystając z i-kart, użytkownicy mogą uwierzytelniać się bez konieczności podawania nazwy użytkownika i hasła na każdej stronie internetowej; zamiast tego w witrynach, które je akceptują, mogą logować się za pomocą i-card, której można używać w wielu witrynach.

Każda karta informacyjna wykorzystuje odrębny klucz cyfrowy w parach dla każdej dziedziny, w której wymagany jest klucz. Dziedzina może być pojedynczą witryną lub zestawem powiązanych witryn, z których wszystkie udostępniają te same informacje o zakresie docelowym podczas żądania karty informacyjnej. Użycie odrębnych kluczy parami na dziedzinę oznacza, że ​​nawet jeśli dana osoba zostanie nakłoniona do zalogowania się do witryny oszusta za pomocą i-card, w tej witrynie zostanie użyty inny klucz niż witryna, pod którą oszust próbował się podszyć; żaden wspólny sekret nie jest ujawniany.

Ponadto wiele selektorów tożsamości zapewnia środki wykrywania phishingu , w ramach których sprawdzany jest certyfikat HTTPS strony uzależnionej i porównywany z listą witryn, w których użytkownik wcześniej korzystał z karty informacyjnej. Przy wejściu na nową stronę użytkownik jest informowany, że nie używał tam wcześniej karty.

Rodzaje i-kart

Profil interoperacyjności selektora tożsamości w wersji 1.5 (lub projekt komitetu OASIS IMI w wersji 1.0) określa dwa rodzaje kart informacyjnych, które musi obsługiwać selektor tożsamości.

  • Karty danych osobowych: (nazywane również wydawanymi samodzielnie) karty te umożliwiają zgłaszanie oświadczeń na swój temat witrynom, które chcą je zaakceptować. Roszczenia te mogą obejmować imię i nazwisko, adres, numery telefonów, adres e-mail, adres internetowy, datę urodzenia, płeć oraz klucz specyficzny dla witryny generowany jednoznacznie dla każdej witryny, w której używana jest karta.
  • Zarządzane karty informacyjne: Karty te umożliwiają dostawcom tożsamości innym niż Ty składanie oświadczeń na Twój temat w witrynach, które chcą je zaakceptować. Roszczenia te mogą obejmować wszelkie informacje, o które prosi RP, dostawca tożsamości jest w stanie dostarczyć i które chcesz przesłać między nimi.

Projekt Higgins definiuje również dwa nowe rodzaje i-kart:

  • Karty relacji (lub karty R) służą do ustanowienia trwałej relacji między wieloma stronami.
  • Karty o zerowej wiedzy (lub karty Z)

Jednak format karty informacyjnej pozwala na niestandardowe typy; W ramach projektu Bandit na konferencji Novell BrainShare w marcu 2007 r. zademonstrowano prototyp zarządzanych kart wspieranych przez OpenID .

Karty osobiste

Pierwszy rodzaj osobistych kart informacyjnych został również wprowadzony jako część oprogramowania Windows CardSpace firmy Microsoft w listopadzie 2006 r. Ich zachowanie jest również określone przez te same dokumenty dotyczące kart zarządzanych zdefiniowanych przez firmę Microsoft (patrz wyżej).

Podsumowanie cech:

  • Format danych Plik XML zawierający: zestaw identyfikatorów URI typu oświadczeń oraz (zdefiniowane przez użytkownika) wartości tych oświadczeń, cardImage , unikalny identyfikator karty itp. Ten format danych jest zdefiniowany w dokumentach ISIP.
  • Wystawca: własny selektor tożsamości użytkownika . Karty imienne można określić jako wydawane samodzielnie
  • Genesis: Utworzony przez selektor tożsamości użytkownika.
  • Oświadczenia: 15 predefiniowanych typów oświadczeń (np. imię, nazwisko, adres e-mail itp.) jest zdefiniowanych w Identity Selector Interoperability Profile v 1.5 (lub OASIS IMI v1.0 Committee Draft).
  • Urząd: Selektor tożsamości użytkownika to urząd dla zestawu wartości roszczeń wystawionego tokenu.
  • Przepływ danych: na żądanie (np. w razie potrzeby lokacji zależnej) usługa STS lokalna w stosunku do selektora tożsamości tworzy token zabezpieczający z bieżącymi wartościami.
  • Edytowalność: wartości roszczeń są bezpośrednio edytowane przez użytkownika.
  • Źródło danych atrybutów: plik XML karty osobistej zawiera wartości żądań. Po zaimportowaniu do selektora tożsamości te wartości danych są następnie zarządzane wewnętrznie przez selektor.

Zarządzane karty informacyjne

Pierwszy rodzaj kart zarządzanych został wprowadzony jako część oprogramowania Windows CardSpace firmy Microsoft w listopadzie 2006 roku. Zachowanie, format pliku i charakterystyka współdziałania tego rodzaju kart zarządzanych są zdefiniowane w dokumentach firmy Microsoft, takich jak Identity Selector Interoperability Profile v 1.5 (lub OASIS IMI v1.0 Committee Draft; pełna lista znajduje się na stronie self-issued.info), w połączeniu z otwartymi standardami, w tym WS-Trust i innymi.

Podsumowanie cech:

  • Format danych: plik XML zawierający: punkt końcowy sieci STS, zestaw identyfikatorów URI typu roszczenia, nazwę karty, cardImage , issuerName , unikalny identyfikator karty itp. Format pliku XML jest zdefiniowany w dokumentach ISIP.
  • Wydawca: Zewnętrzna usługa tokena strony trzeciej (reprezentująca osobę lub organizację zewnętrzną).
  • Geneza: zarządzana karta jest generowana przez usługę tokenu zabezpieczającego działającą w witrynie dostawcy tożsamości i importowana do selektora tożsamości użytkownika.
  • Oświadczenia: lista obsługiwanych typów oświadczeń (identyfikatorów URI typu oświadczeń) jest definiowana przez wystawcę.
  • Autorytet: wystawca jest wyłącznym autorytetem w zakresie wartości roszczeń zawartych w wystawianym tokenie.
  • Przepływ danych: zarządzane karty zawierają odwołanie do punktu końcowego sieci do usługi STS , która na żądanie selektora tożsamości (przy użyciu WS-Trust itp.) generuje/dostarcza token zabezpieczający zawierający wymagane oświadczenia.
  • Edytowalność: Podstawowe dane atrybutów nie mogą być bezpośrednio edytowane przez użytkownika.
  • Źródło danych atrybutów: określane przez emitenta i generalnie zarządzane przez emitenta.

I-karty wydawane przez osoby trzecie mogą wykorzystywać jedną z czterech metod uwierzytelniania użytkownika jako właściciela karty:

  • Kartę Osobistą (wydaną we własnym zakresie),
  • certyfikat X.509 (który może pochodzić z urządzenia sprzętowego, takiego jak karta SmartCard lub może to być certyfikat oprogramowania),
  • bilet Kerberos , taki jak wydawany przez wiele rozwiązań do logowania w przedsiębiorstwie, lub
  • nazwę użytkownika i hasło do karty.

Dodatkowe metody mogą być również wdrażane przez przyszłych selektorów tożsamości i dostawców tożsamości.

Zarządzane karty i-card mogą być kontrolne, nieaudytowe lub opcjonalne:

  • Karty audytu wymagają ujawnienia dostawcy tożsamości witryny RP . Można to wykorzystać do ograniczenia witryn, którym dostawca tożsamości jest skłonny udostępniać informacje.
  • Karty nieaudytowe nie ujawnią tożsamości witryny RP dostawcy tożsamości.
  • Opcjonalne karty audytu ujawnią tożsamość witryny Strony ufającej, jeśli zostaną dostarczone przez osobę odpowiedzialną, ale nie wymagają takiego ujawnienia.

Karty relacji

Karty relacji są opracowywane przez projekt Higgins (patrz raport Paula Trevithicka).

Podsumowanie cech:

  • Format danych: zarządzana karta obsługująca żądanie zasobu udi.
  • Obsługiwane oświadczenia: Podobnie jak wszystkie zarządzane (lub osobiste) karty, karty r zawierają listę obsługiwanych typów roszczeń (wyrażonych jako identyfikatory URI) zgodnie z definicją wydawcy. Ten zestaw definiuje maksymalny zestaw oświadczeń, które wystawca uwzględni w wygenerowanym tokenie zabezpieczającym. Twierdzenia te są dziedziczone z podstawowych kart ISIP-m, na których są oparte, i są wykorzystywane do tych samych celów. Poza zarządzanymi kartami roszczenie „meta” zasobu udi zawiera odniesienie do zestawu atrybutów.
  • Urząd: wystawca jest organem dla zestawu wartości roszczeń wystawionego tokena (zgodnie z normalną kartą zarządzaną lub osobistą).
  • Edytowalność: wartości podstawowych atrybutów (do których odwołuje się roszczenie resource-udi) mogą być edytowalne przez strony inne niż wystawca.
  • Obsługiwane atrybuty: Wartość żądania zasobu udi karty r jest identyfikatorem UDI jednostki (URI), który „wskazuje” na jednostkę danych (reprezentującą osobę, organizację lub inny obiekt). Zestaw atrybutów tej jednostki danych różni się od wspomnianych powyżej „obsługiwanych roszczeń” (choć zwykle jest ich nadzbiorem).

Poleganie na modelu danych Higginsa

Koncepcyjnie zarządzana karta jest zasadniczo przyjaznym dla człowieka „wskaźnikiem” do usługi tokena — usługi sieciowej (np. STS ), z której można żądać tokenów bezpieczeństwa. Token bezpieczeństwa to zestaw twierdzeń atrybutów (inaczej roszczeń) dotyczących jakiejś strony, które są kryptograficznie podpisane przez wystawcę (usługa tokena działająca jako organ). R-karta zawiera drugi „wskaźnik”, który wskazuje na jednostkę danych, której wartości atrybutów (i) są wspólne dla wszystkich stron r-karty i (ii) tworzą podstawowe atrybuty, które są wykorzystywane przez STS wystawcy r-karty i podaj wartości oświadczeń, które tworzy ten STS. Umieszczając ten drugi „wskaźnik” na karcie r, posiadacze karty r mają możliwość uzyskania dostępu i aktualizacji niektórych podzbiorów tych podstawowych atrybutów. Wydawca karty prowadzi politykę kontroli dostępu, aby kontrolować, kto ma jaki poziom dostępu.

Ten drugi wskaźnik to Entity UDI — odniesienie do obiektu Entity w kontekstowym modelu danych Higginsa. Identyfikatory UDI jednostki można wyłuskać, a atrybuty bazowej jednostki uzyskać dostęp za pomocą usługi Identity Attribute Service projektu Higgins . Po rozwiązaniu konsumenci tej usługi mogą sprawdzać i potencjalnie modyfikować atrybuty jednostki, a także uzyskiwać jej schemat, jak opisano w języku ontologii sieciowej (OWL).

Oprócz podstawowych wartości atrybutów tożsamości, takich jak ciągi znaków i liczby, jednostka danych, do której odnosi się r-card, może mieć złożone wartości atrybutów składające się z agregatów podstawowych typów atrybutów, a także powiązań UDI z innymi jednostkami.

Roszczenia

Poza tym, że służą do logowania się w witrynach, karty informacyjne mogą również ułatwiać inne rodzaje interakcji. Model karty informacyjnej zapewnia dużą elastyczność, ponieważ karty mogą być używane do przekazywania od dostawcy tożsamości stronie ufającej wszelkich informacji, które mają sens dla obu stron i które dana osoba jest skłonna ujawnić. Elementy danych zawarte w i-kartach nazywane są roszczeniami.

Jednym z możliwych zastosowań oświadczeń jest weryfikacja wieku online, przy czym dostawcy tożsamości dostarczają karty potwierdzające wiek, a RP akceptują je do celów takich jak sprzedaż wina online; można również zweryfikować inne atrybuty. Innym rodzajem płatności są płatności online, w ramach których akceptanci mogą akceptować karty płatnicze online od wydawców płatności, zawierające jedynie minimalną ilość informacji potrzebnych do ułatwienia płatności. Deklaracje ról przenoszone przez oświadczenia mogą być używane do podejmowania decyzji dotyczących kontroli dostępu przez strony ufające.

Interoperacyjność i licencjonowanie

Protokoły potrzebne do zbudowania komponentów Identity Metasystem mogą być używane przez każdego w dowolnym celu bez ponoszenia kosztów licencyjnych, a interoperacyjne implementacje można budować wyłącznie przy użyciu publicznie dostępnej dokumentacji. Obietnice patentowe zostały wydane przez Microsoft, IBM i inne podmioty, zapewniając, że protokoły leżące u podstaw metasystemu tożsamości mogą być swobodnie używane przez wszystkich.

Karty informacyjne zdefiniowane w Identity Selector Interoperability Profile v 1.5 (lub OASIS IMI v1.0 Committee Draft) są oparte na otwartych, interoperacyjnych standardach komunikacyjnych. Interoperacyjne komponenty i-card zostały zbudowane przez dziesiątki firm i projektów dla platform, w tym Windows, Mac OS i Linux, a także prototypową implementację dla telefonów. Razem te komponenty implementują interoperacyjny metasystem tożsamości. Kart informacyjnych można używać do zapewniania tożsamości zarówno witrynom sieci Web, jak i aplikacjom usług sieci Web.

OSIS i Burton Group sponsorowały kilka imprez testujących interoperacyjność kart i-card, jedno odbyło się na konferencji Interop podczas Europejskiej Konferencji Catalyst w Barcelonie w październiku 2007 r., a ostatnie na RSA 2008. Wydarzenia te pomagają zapewnić, że różne Komponenty oprogramowania karty informacyjnej tworzone przez wielu uczestników Metasystemu Tożsamości dobrze ze sobą współpracują.

Protokoły potrzebne do zbudowania implementacji karty informacyjnej w oparciu o Identity Selector Interoperability Profile v 1.5 (lub OASIS IMI v1.0 Committee Draft) mogą być używane przez każdego w dowolnym celu bez żadnych kosztów, a implementacje interoperacyjne mogą być budowane wyłącznie przy użyciu publicznie dostępnej dokumentacji. Obietnice patentowe zostały wydane przez Microsoft, IBM i inne firmy, dzięki czemu ta technologia kart informacyjnych jest swobodnie dostępna dla wszystkich.

W czerwcu 2008 r. liderzy branży, w tym Equifax, Google, Microsoft, Novell, Oracle, PayPal i inni, utworzyli Information Card Foundation w celu upowszechnienia wykorzystania metafory karty informacyjnej jako kluczowego elementu otwartego, interoperacyjnego, bezpłatnego, warstwa tożsamości zorientowana na użytkownika, obejmująca zarówno przedsiębiorstwo, jak i Internet.

W swoim raporcie na temat Interop na konferencji Catalyst w San Francisco w czerwcu 2007 r. Analityk Bob Blakley napisał:

Wydarzenie interop było kamieniem milowym w dojrzewaniu technologii identyfikacji zorientowanej na użytkownika. Przed wydarzeniem było kilka specyfikacji, jeden produkt komercyjny i kilka projektów open-source. Po zdarzeniu można dokładnie stwierdzić, że istnieje działający Metasystem Tożsamości.

Historia terminologii

Termin „karta informacyjna” został wprowadzony przez firmę Microsoft w maju 2005 r. jako nazwa metafory wizualnej karty informacyjnej, która ma zostać wprowadzona w nadchodzącym oprogramowaniu Windows CardSpace. Do początku 2006 r. karty informacyjne były czasami określane kryptonimem „InfoCard”, co nie było nazwą powszechnie dostępną dla wszystkich. Imienna karta informacyjna została specjalnie wybrana jako taka, która byłaby ogólnodostępna dla wszystkich, niezależnie od jakiegokolwiek produktu lub wdrożenia. Nazwa „karta informacyjna” nie jest znakiem towarowym i jest na tyle ogólna, że ​​nie może być znakiem towarowym.

Termin i-card został wprowadzony 21 czerwca 2006 r. na konferencji Berkman/MIT Identity Mashup. Celem było zdefiniowanie terminu, który nie był powiązany z żadną branżową nazwą TM lub inną własnością intelektualną lub artefaktem. W tamtym czasie Microsoft nie zakończył jeszcze stosowania Obietnicy Otwartej Specyfikacji do protokołów leżących u podstaw Windows CardSpace, a także istniało nieporozumienie, że termin karta informacyjna nie był swobodnie dostępny do użytku przez wszystkich, więc ostrożnie, termin i-karta został wprowadzony.

Mike Jones z firmy Microsoft wyjaśnił uczestnikom sesji na IIW 2007b, że termin „karta informacyjna” zawsze miał być używany ogólnie do opisywania wszelkiego rodzaju kart informacyjnych i do swobodnego użytku przez wszystkich, i próbował naprawić wcześniejsze nieporozumienie, że termin ten może odnosić się tylko do rodzajów kart informacyjnych pierwotnie zdefiniowanych przez firmę Microsoft. Argumentował, że dla branży lepiej byłoby, gdyby wszyscy używali wspólnej karty informacyjnej terminów, niż gdyby używano dwóch terminów o tym samym znaczeniu, ponieważ nie ma prawnego ani technicznego powodu dla różnych terminów. W tym przypadku termin i-card stałby się po prostu skróconą formą karty informacyjnej, tak jak np e-mail stał się krótką formą poczty elektronicznej.

Wdrożenia oprogramowania

Zobacz też

Dodatkowe zasoby

Linki zewnętrzne

Pobrano z „ https://en.wikipedia.org/w/index.php?title=Information_card&oldid=1135240926 ”