МикроИД

MicroID — это децентрализованный протокол идентификации . Первоначально он был разработан в 2005 году Джереми Миллером [1] . MicroID — это простой идентификатор, содержащий хешированный URI связи/идентификации (например, адрес электронной почты , OpenID и/или Yadis ) и заявленный URL-адрес . Вместе эти два элемента создают хэш, который может быть востребован сторонними службами.

Бен Лори продемонстрировал проблемы с конфиденциальностью в 2006 году. , ^{[ 1 ]} как это сделал Крис Эрвей в техническом отчете Brown CS в 2008 году. ^{[ 2 ]}

Обмен микроID

Вот пример хеша MicroID в псевдокоде :

MicroID = sha1( sha1("mailto:[email protected]") + sha1("http://example.net/") );

Вычисленный MicroID затем будет размещен на веб-странице, на которую можно будет заявить права. Верификатор, который самостоятельно сгенерирует MicroID, затем посетит страницу, чтобы проверить, совпадает ли сгенерированный MicroID с MicroID на странице. Если они одинаковы, претензия существует.

MicroID основан на URI связи . Поскольку и поставщик MicroID, и верификатор могут проверять URI связи, правильная реализация MicroID позволяет использовать доверенные утверждения идентификации.

Ограничения безопасности

MicroID — это, по сути, URI контента, подписанный адресом электронной почты или другим указанием авторства. Поскольку URI контента известен для целей сравнения, утверждение MicroID может быть подделано любым, кто знает URI связи (например, адрес электронной почты), связанный с личностью.

В частности, поскольку проверяющий должен сгенерировать MicroID для его сравнения, из этого следует, что любая сторона, которой доверено проверять MicroID пользователя, также должна иметь право генерировать с его помощью новые заявления об авторстве.

Так что если можешь проверить - можешь подделать.

Другими словами, любой (например, Алиса), который может подтвердить кому-то (например, Бобу) его MicroID на ресурсе «X», также может сгенерировать (подделать) MicroID на любом другом документе (например, Алиса может сгенерировать действительный MicroID для документа Y, не равен X, во имя Боба).

Если предположить, что личность неизвестна (например, 1) издатель решил остаться анонимным и 2) лишает других возможности проверить заявление MicroID до тех пор, пока в будущем использование не раскроет его личность), тогда кто-то, у кого есть адреса электронной почты, может выполнить тривиальная атака по словарю, чтобы определить право собственности на ресурсы, [2] кто-то, у кого есть URI, может выполнить тривиальную атаку по словарю, чтобы найти адрес электронной почты. [3]

Таким образом, (единственный) оставшийся вариант использования — это когда объект генерирует надежный криптографический одноразовый номер (например, UUID); использует это для публикации документов с течением времени — и в какой-то момент в будущем раскрывает UUID, чтобы доказать, что эти документы были написаны пользователем (и признает, что с этого момента любой может предъявлять какие-либо претензии от его или ее имени).

Ограничения конфиденциальности

Как объяснялось выше, MicroID — это хеш, созданный из общедоступного URI и полупубличного адреса электронной почты. Те, кто знает оба, могут проверить утверждение личности на странице. Хеширование помогает скрыть полупубличный адрес электронной почты от людей, которые не должны его знать, в частности от спамеров.

Однако исследования ^{[ 2 ]} на популярных социальных сайтах, таких как Last.fm, Digg и ClaimID, показано, что атака методом перебора позволяет расшифровать адрес электронной почты в 20–25% случаев.

Атака методом перебора угадывает адреса электронной почты, полученные из общедоступного имени пользователя и другой информации, доступной на социальных веб-сайтах, и, таким образом, проверяет только дюжину или около того адресов-кандидатов на каждый MicroID. Несмотря на это, исследование показало, что простая атака, подобная этой, все же может быть успешной в четверти времени, тратя долю секунды на проверку всех кандидатов для каждого пользователя. Таким образом, схема хеширования не гарантирует конфиденциальность адреса электронной почты.

Архитектура заявки MicroID

Пример успешного заявления MicroID выглядит следующим образом:

Пользователь регистрируется в веб-сервисе. Этот веб-сервис проверяет электронную почту пользователя и создает для пользователя общедоступные веб-страницы, содержащие MicroID. Этот MicroID включает в себя хешированное электронное письмо (URI связи) и URL-адрес веб-страницы.
Затем пользователь подписывается на службу верификации. Служба также проверяет электронную почту пользователя.
Пользователь вводит URL-адрес страницы, которую он хочет запросить, в службу проверки. Служба проверки вычисляет MicroID и пытается проверить MicroID на заявленной странице.
Если MicroID на заявленной странице совпадает с MicroID в службе проверки, заявка существует. Затем верификатор заявит право собственности на страницу.

MicroID и DOM

MicroID позволяет заявлять права на семантические элементы HTML . Например, MicroID, вставленный в элемент уровня блока, будет представлять собой заявление о праве собственности на что-либо в этом элементе. MicroID, вставленный в заголовок страницы, будет представлять собой заявление о праве собственности на страницу. Утверждения проверяются только на уровне детализации URI.

Известные провайдеры MicroID

Следующие веб-сервисы предоставляют MicroID своим пользователям:

Известные верификаторы MicroID

Следующие веб-службы проверяют утверждения MicroID:

Внешние ссылки

http://microid.org — домашняя страница MicroID
http://microid.org/blog — блог MicroID
http://lists.ibiblio.org/mailman/listinfo/microid — список рассылки MicroID
http://microid.org/code/ - MicroID с открытым исходным кодом

Ссылки

^ Лори, Бен (28 марта 2006 г.). «МикроИД» . Проверено 8 мая 2009 г.
^ Перейти обратно: ^а ^б Эрвей, Крис (22 августа 2008 г.). MicroID считается вредным (для конфиденциальности) . Информатика Университета Брауна . Проверено 8 мая 2009 г.

[1] Лори, Бен (28 марта 2006 г.). «МикроИД» . Проверено 8 мая 2009 г.

[erway-2] Перейти обратно: ^а ^б Эрвей, Крис (22 августа 2008 г.). MicroID считается вредным (для конфиденциальности) . Информатика Университета Брауна . Проверено 8 мая 2009 г.

[ 1 ]

[ 2 ]