Tożsamość pod kontrolą

W dobie rozkwitu wszelkiego rodzaju serwisów społecznościowych problem naszej cyfrowej tożsamości staje się coraz bardziej palący. Zakładając konta w różnych serwisach, tworzymy kolejne "wirtualne osoby". W końcu łapiemy się na tym, że trudno nad nimi zapanować.


W dobie rozkwitu wszelkiego rodzaju serwisów społecznościowych problem naszej cyfrowej tożsamości staje się coraz bardziej palący. Zakładając konta w różnych serwisach, tworzymy kolejne "wirtualne osoby". W końcu łapiemy się na tym, że trudno nad nimi zapanować.

Dziesiątki serwisów wymagają od nas loginu i hasła oraz podawania tych samych danych w trakcie rejestracji, a każdy profil jest oddzielnym bytem. A przecież w niektórych wypadkach ich połączenie dałoby ogromne korzyści (przykładowo: osoba mająca dobrą opinię na Allegro mogłaby liczyć na lepsze warunki zakupu w sklepie internetowym).

Hasło reklamowe polskiego operatora OpenID trafnie oddaje istotę tej użytecznej techniki.

Hasło reklamowe polskiego operatora OpenID trafnie oddaje istotę tej użytecznej techniki.

Do tego dochodzi banalny problem danych potrzebnych do zalogowania się, które trudno spamiętać. Powszechna praktyka "taki sam login i to samo hasło do wszystkich serwisów" jest niezbyt bezpieczna. Wystarczy, że ktoś wykradnie hasło (np. działający w złej wierze właściciel dowolnej strony, na której się zalogowaliśmy) i mamy duży problem.

Z pomocą przy rozwiązaniu części tych problemów przychodzi OpenID. Należy podkreślić słowo "części". Celem tego standardu jest stworzenie mechanizmu jednolitego logowania się do serwisów internetowych i równocześnie systemu identyfikatorów, które określają nas w Internecie.

Aby zrozumieć, jak działa OpenID, trzeba poznać trzy podstawowe terminy.

Identyfikator OpenID to po prostu nasza nazwa w Sieci. Wiele stron pozwala wybrać swój własny identyfikator (nick). Inne żądają, żeby był to adres e-mail. W wypadku OpenID identyfikatorem jest adres internetowy (URL), np.http://marcin.openid.p l/ czy adres naszego blogu. Jedna osoba może mieć wiele identyfikatorów, choć ideą OpenID jest raczej używanie jednego identyfikatora w wielu serwisach. Pomysł, żeby identyfikatorem był adres strony może wydawać się nieco dziwaczny, ma jednak swój głębszy sens. Po pierwsze, identyfikatory nie mogą się powtórzyć. W żadnym serwisie nie otrzymamy komunikatu, że nasz identyfikator jest już zajęty. Po drugie, pod tym adresem możemy umieścić dodatkowe informacje o nas samych.

Dwa kolejne pojęcia to konsument OpenID i serwer OpenID (OP). Konsument to po prostu każda strona (sklep internetowy, blog, serwis społecznościowy), na której będziemy logować się za pomocą naszego identyfikatora OpenID.

Serwer OpenID (OP) to specjalny serwis internetowy, który służy potwierdzeniu naszego prawa do posługiwania się podanym identyfikatorem. Z tego względu czasami jest nazywany "dostawcą tożsamości". Można powiedzieć, że serwer OpenID przechowuje naszą tożsamość, tak jak bank przechowuje nasze pieniądze.

OpenID w praktyce

Wybieramy jeden z serwerów OpenID (OP) i tworzymy na nim konto. W naszym wypadku skorzystamy z serwera OpenID.pl (http://openid.pl ). Konto "przykład" daje nam prawo do posługiwania się identyfikatoremhttp://przyklad.openid.pl/ . Od tej chwili każde jego użycie będzie wymagało podania hasła. Standard OpenID nie określa sposobu zabezpieczenia konta na serwerze OpenID, może być to zarówno para login/hasło, jak i hasła jednorazowe, tokeny, certyfikaty.

Teraz możemy wejść na stronę, która jest konsumentem OpenID, np. blog oparty na technologii Wordpress - użyjemy OpenID do podpisania komentarza. Podajemy tam tylko identyfikator. Konsument OpenID sprawdza, jaki serwer OpenID potwierdzi, że możemy go użyć. Okazuje się, że za adreshttp://przyklad.openid.pl/ odpowiada serwer o adresiehttp://openid.pl/ . Konsument OpenID przekierowuje nas tam i żąda zalogowania się i potwierdzenia prawa do posługiwania się identyfikatorem.

To już końcowy etap potwierdzania naszej tożsamości. Logujemy się na wybrany przez nas serwer OpenID, podając login "przykład" i przypisane do niego hasło, które poprzednio utworzyliśmy. Teraz z kolei serwer pyta nas, czy chcemy zalogować się na stronie, która nas tu przysłała. Potwierdzamy i wracamy, już zalogowani, do konsumenta OpenID, podpisując swój komentarz w blogu, co kończy ostatecznie procedurę autoryzacji za pomocą systemu OpenID.

Dodatkowe informacje o OpenID

openid.net - oficjalna strona OpenID Foundation, na której znaleźć można m.in. specyfikacje standardu OpenID.

blog.identity20.pl - blog poświęcony OpenID i pokrewnym technologiom.

openid.pl - polski serwer OpenID.

myopenid.com - popularny amerykański serwer OpenID.

www.myopenid.com/directory/ - lista stron, wpierających OpenID (konsumentów OpenID).