Информационная карта

I-карты, отображаемые в Windows CardSpace Identity Selector

Информационная карта (или i-card ) — это личная цифровая идентификационная информация, которую люди могут использовать в Интернете, а также ключевой компонент метасистемы идентификационной информации. Визуально каждая i-карта имеет изображение в форме карты и связанное с ней имя карты, что позволяет людям упорядочить свои цифровые удостоверения и легко выбрать тот, который они хотят использовать для любого конкретного взаимодействия. Метафора информационной карты была реализована с помощью селекторов удостоверений, таких как Windows CardSpace , DigitalMe или Higgins Identity Selector .

Метасистема удостоверений — это совместимая архитектура цифровой идентификации , которая позволяет людям иметь и использовать коллекцию цифровых удостоверений на основе множества базовых технологий, реализаций и поставщиков. Используя этот подход, клиенты могут продолжать использовать существующие инвестиции в инфраструктуру идентификации, выбирать технологию идентификации, которая лучше всего подходит для них, и с легкостью переходить от старых технологий к новым, не жертвуя при этом совместимостью с другими. Метасистема идентичности основана на принципах «Законов идентичности».

Обзор

Информационные карточки, отображаемые в DigitalMe Identity Selector

участвуют три участника : Во взаимодействии цифровой идентичности с использованием информационных карт

• Поставщики удостоверений выдают вам цифровые удостоверения. Например, предприятия могут выдавать удостоверения личности своим клиентам, правительства могут ручаться за личности своих граждан, эмитенты кредитных карт могут предоставлять удостоверения личности, позволяющие совершать платежи, онлайн-сервисы могут предоставлять проверенные данные, такие как возраст, а отдельные лица могут использовать самостоятельно выданные удостоверения личности для регистрации. на веб-сайты.
• Доверяющие стороны (RP) принимают ваши идентификационные данные. Интернет-сервисы, которые вы используете, могут принимать выбранные вами цифровые удостоверения и использовать предоставленную ими информацию от вашего имени с вашего согласия.
• Субъект — вы сами, сторона, контролирующая все эти взаимодействия. Субъект может выбрать, какой из применимых цифровых идентификаторов использовать с проверяющей стороной.

Селекторы

Microsoft Windows CardSpace Реализация селектора идентификаторов

Селектор удостоверений используется для хранения, управления и использования цифровых удостоверений. Примерами селекторов идентификаторов являются Windows CardSpace от Microsoft , Bandit Project , DigitalMe от и несколько видов селекторов идентификаторов из проекта Хиггинса Eclipse Foundation .

Селектор удостоверений выполняет следующие ориентированные на пользователя задачи управления удостоверениями:

• Обеспечивает единообразный пользовательский интерфейс для аутентификации (а в некоторых случаях и других видов взаимодействия) с RP (также известным как поставщик услуг).
• Предоставляет пользовательский интерфейс , отображающий набор значков информационных карточек, из которых пользователь выбирает предпочтительную i-карту, когда аутентификация требуется локальным приложением или проверяющей стороной (например, страница входа на веб-сайт).
• Предоставляет пользовательский интерфейс для создания и управления личными (также известными как самостоятельно выдаваемые ) информационные карты.
• Предоставляет локальную службу токенов безопасности, которая используется для выдачи токенов безопасности для личных i-карт.
• Предоставляет пользовательский интерфейс для импорта и экспорта информационных карточек в стандартных форматах файлов.
• Вызывается расширением браузера или локальным полнофункциональным клиентским приложением.

Селектор идентификаторов может также позволять пользователю управлять (например, создавать, просматривать, обновлять и удалять карты) своим портфелем i-карт.

Метасистемы идентичности

Метасистема идентичности состоит из пяти ключевых компонентов:

• Способ представления личности с помощью утверждений. Утверждения передаются в токенах безопасности согласно WS-Security .
• Средство для поставщиков удостоверений, проверяющих сторон и субъектов переговоров. Динамическое согласование доставляемых утверждений и используемого формата токена безопасности позволяет метасистеме идентификации переносить любой формат токена и любые виды утверждений, необходимые для взаимодействия с цифровой идентификацией. Согласование происходит с использованием операторов WS-SecurityPolicy, обмен которыми осуществляется с помощью WS-MetadataExchange .
• Инкапсулирующий протокол для получения утверждений и требований. Протоколы WS-Trust и WS-Federation используются для передачи запросов на токены безопасности и ответов, содержащих эти токены.
• Средство преодоления технологических и организационных границ с помощью трансформации претензий. Службы токенов безопасности (STS), определенные в WS-Trust, используются для преобразования содержимого и форматов утверждений.
• Согласованный пользовательский опыт в различных контекстах, технологиях и операторах. Это достигается с помощью клиентского программного обеспечения для выбора удостоверений, такого как Windows CardSpace, которое представляет цифровые удостоверения, принадлежащие пользователям, в виде визуальных i-карт.

Общие качества

• I-карты создаются организацией, известной как эмитент .
• I-карты отображают имя эмитента ( IssuerName ) в текстовой строке.
• I-карты имеют текстовую строку для идентификации карты ( cardName ), которая изначально установлена ​​эмитентом карты. Обычно это имя карты может редактироваться пользователем.
• I-карты могут иметь ( GIF или JPEG фоновое изображение ) ( cardImage ), установленное эмитентом карты (редактируемое пользователем).
• В большинстве i-карт пользователь может видеть стоимость претензий.

Возможности входа в систему

Изображение, используемое для обозначения поддержки информационных карт.

Используя i-карты, пользователи могут проходить аутентификацию без необходимости ввода имени пользователя и пароля для каждого веб-сайта; вместо этого на сайтах, которые их принимают, они могут войти в систему с помощью i-карты, которую можно использовать на нескольких сайтах.

Каждая информационная карта использует отдельный парный цифровой ключ для каждой области, где запрашивается ключ. Областью может быть один сайт или набор связанных сайтов, которые используют одну и ту же информацию о целевой области при запросе информационной карты. Использование отдельных парных ключей для каждой области означает, что даже если человека обманом заставляют войти на сайт самозванца с помощью i-карты, на этом сайте будет использоваться другой ключ, чем тот, который пытался выдать себя самозванец; общий секрет не раскрывается.

Кроме того, многие селекторы удостоверений предоставляют средства обнаружения фишинга , при которых сертификат HTTPS сайта проверяющей стороны проверяется и сравнивается со списком сайтов, на которых пользователь ранее использовал информационную карту. При посещении нового сайта пользователю сообщается, что он ранее не использовал там карту.

Виды i-карт

Профиль совместимости Identity Selector версии 1.5 (или проект комитета OASIS IMI v1.0) определяет два типа информационных карточек, которые должен поддерживать селектор удостоверений.

• Карты с личной информацией: (также называемые самостоятельно выдаваемыми) эти карты позволяют вам подавать заявления о себе на сайты, желающие их принять. Эти претензии могут включать ваше имя, адрес, номера телефонов, адрес электронной почты, веб-адрес, дату рождения, пол, а также ключ для конкретного сайта, уникально сгенерированный для каждого сайта, на котором используется карта.
• Карты управляемой информации. Эти карты позволяют поставщикам удостоверений, кроме вас, подавать заявления о вас сайтам, желающим их принять. Эти утверждения могут включать в себя любую информацию, которую запрашивает RP, поставщик удостоверений может предоставить и которую вы готовы передавать между ними.

Проект Хиггинса также определяет два новых типа электронных карт:

• Карты отношений (или R-карты) используются для установления постоянных отношений между несколькими сторонами.
• Карты с нулевым разглашением (или Z-карты)

Однако формат информационной карты допускает использование пользовательских типов; Проект Bandit продемонстрировал прототипы управляемых карт, поддерживаемых OpenID, на конференции Novell BrainShare в марте 2007 года.

Личные карты

Первый тип карточек с личной информацией был также представлен как часть программного обеспечения Microsoft Windows CardSpace в ноябре 2006 года. Их поведение также определяется теми же документами, которые охватывают управляемые карты, определенные Microsoft (см. выше).

Краткое описание характеристик:

• Формат данных XML-файл, содержащий: набор URI типов утверждений , а также (определяемые пользователем) значения этих утверждений, cardImage , уникальный идентификатор карты и т. д. Этот формат данных определен в документах ISIP.
• Эмитент: пользователя собственный селектор идентификации . Личные карты можно охарактеризовать как самостоятельно выпущенные.
• Genesis: Создано селектором идентификаторов пользователя.
• Утверждения: 15 предопределенных типов утверждений (например, имя, фамилия, адрес электронной почты и т. д.) определены в профиле совместимости Identity Selector версии 1.5. (или проект комитета OASIS IMI v1.0).
• Полномочия: селектор идентификаторов пользователя является полномочиями для набора значений утверждений выданного токена.
• Поток данных: по требованию (например, по требованию проверяющего сайта) STS, локальный для селектора удостоверений, создает токен безопасности с текущими значениями.
• Редактируемость: значения утверждений могут редактироваться пользователем напрямую.
• Источник данных атрибутов: XML-файл личной карты содержит значения утверждений. При импорте в селектор идентификаторов эти значения данных затем управляются селектором изнутри.

Управляемые информационные карты

Первый тип управляемых карт был представлен как часть программного обеспечения Microsoft Windows CardSpace в ноябре 2006 года. Поведение, формат файла и характеристики совместимости этих типов управляемых карт определяются документами Microsoft, такими как профиль взаимодействия Identity Selector v 1.5. (или проект комитета OASIS IMI v1.0; см. self-issued.info для более полного списка) в сочетании с открытыми стандартами, включая WS-Trust и другие.

Краткое описание характеристик:

• Формат данных: XML-файл, содержащий: конечную точку сети STS, набор URI типов утверждений, имя карты, cardImage , IssuerName , уникальный идентификатор карты и т. д. Формат XML-файла определен в документах ISIP.
• Эмитент: внешний сторонний сервис токенов (представляющий внешнее лицо или организацию).
• Genesis: управляемая карта создается службой токенов безопасности, работающей на сайте поставщика удостоверений, и импортируется в селектор удостоверений пользователя.
• Утверждения. Список поддерживаемых типов утверждений (URI типов утверждений) определяется эмитентом.
• Полномочия: Эмитент является единственным уполномоченным в отношении значений утверждений, содержащихся в выпускаемом им токене.
• Поток данных. Управляемые карты содержат ссылку на конечную точку сети на STS , которая по запросу селектора удостоверений (с использованием WS-Trust и т. д.) генерирует/предоставляет токен безопасности, содержащий необходимые утверждения.
• Редактируемость: данные базового атрибута не напрямую . могут редактироваться пользователем
• Источник данных атрибута: определяется эмитентом и обычно управляется эмитентом.

I-карты, выпущенные третьими лицами, могут использовать любой из четырех способов аутентификации пользователя как владельца карты:

• карточка с личной информацией (выдается самостоятельно),
• сертификат X.509 (который может быть либо аппаратным устройством, например смарт-картой , либо сертификатом программного обеспечения),
• билет Kerberos , например, выдаваемый многими корпоративными решениями для входа в систему, или
• логин и пароль для карты.

Дополнительные методы также могут быть реализованы будущими селекторами и поставщиками удостоверений.

Управляемые электронные карты могут быть проверяемыми, неаудитируемыми или неаудитируемыми:

• личности сайта RP Карты аудита требуют раскрытия поставщику удостоверений. Это можно использовать для ограничения сайтов, которым поставщик удостоверений готов предоставлять информацию.
• Карты, не предназначенные для аудита, не будут раскрывать личность сайта RP поставщику удостоверений.
• Карты, необязательные для аудита, будут раскрывать идентификационные данные сайта проверяющей стороны, если они предоставлены RP, но не требуют такого раскрытия.

Карты отношений

Карты взаимоотношений разрабатываются проектом Хиггинса (см. доклад Пола Тревитика).

Краткое описание характеристик:

• Формат данных: управляемая карта, поддерживающая утверждение ресурса-udi.
• Поддерживаемые утверждения. Как и все управляемые (или персональные) карты, карты r включают список поддерживаемых типов утверждений (выраженных в виде URI), определенных эмитентом. Этот набор определяет максимальный набор утверждений, которые эмитент включит в свой сгенерированный токен безопасности. Эти утверждения наследуются от базовой карты ISIP-m, на которой она основана, и используются для тех же целей. Помимо управляемых карт, мета-утверждение ресурса-udi предоставляет ссылку на набор атрибутов.
• Полномочия: Эмитент является уполномоченным для набора значений утверждений выпущенного токена (как в случае с обычной управляемой или личной картой).
• Редактируемость: значения базовых атрибутов (на которые ссылается утверждение ресурса-udi) могут быть изменены сторонами, отличными от эмитента.
• Поддерживаемые атрибуты: значением утверждения resources-udi r-карты является UDI объекта. (URI), который «указывает» на объект данных (представляющий человека, организацию или другой объект). Набор атрибутов этого объекта данных отличается (хотя обычно является расширенным набором) «поддерживаемых утверждений», упомянутых выше.

Использование модели данных Хиггинса

Концептуально управляемая карта — это, по сути, удобный для человека «указатель» на службу токенов — веб-службу (например, STS ), у которой могут быть запрошены токены безопасности. Маркер безопасности — это набор утверждений атрибутов (также известных как утверждения) о какой-либо стороне, которые криптографически подписаны эмитентом (служба токенов, выступающая в качестве органа власти). R-карта содержит второй «указатель», указывающий на объект данных, значения атрибутов которого (i) разделяются всеми сторонами r-карты и (ii) формируют базовые атрибуты, которые используются STS эмитента r-карты. и укажите значения утверждений, которые делает этот STS. Включив этот второй «указатель» на r-карту, владельцы r-карты имеют возможность получить доступ к некоторому подмножеству этих базовых атрибутов и обновить их. Эмитент карты поддерживает политику контроля доступа, позволяющую контролировать, кто и какой уровень доступа имеет.

Этот второй указатель представляет собой UDI объекта. — ссылка на объект Entity в модели данных контекста Хиггинса. UDI сущностей можно разыменовать, а к базовым атрибутам Entity можно получить доступ с помощью службы Identity Attribute Service проекта Higgins . После решения потребители этой службы могут проверять и, возможно, изменять атрибуты объекта, а также получать его схему, как описано в языке веб-онтологии (OWL).

В дополнение к базовым значениям атрибутов идентичности, таким как строки и числа, объект данных, на который ссылается r-карта, может иметь сложные значения атрибутов, состоящие из совокупностей основных типов атрибутов, а также ссылок UDI на другие объекты.

Претензии

Информационные карты используются не только для входа на сайты, но и для других видов взаимодействия. Модель информационных карт обеспечивает большую гибкость, поскольку карты можно использовать для передачи любой информации от поставщика удостоверений проверяющей стороне, которая имеет смысл для них обоих и которую человек готов раскрыть. Элементы данных, содержащиеся в i-картах, называются претензиями.

Одним из возможных вариантов использования заявлений является онлайн-проверка возраста: поставщики удостоверений личности предоставляют карты, подтверждающие возраст, а RP принимают их для таких целей, как онлайн-продажа вина; другие атрибуты также могут быть проверены. Другой вариант — онлайн-платежи , при которых продавцы могут принимать карты онлайн-платежей от эмитентов платежей, содержащие лишь минимальную информацию, необходимую для облегчения оплаты. Заявления о ролях, содержащиеся в утверждениях, могут использоваться проверяющими сторонами для принятия решений по контролю доступа.

Совместимость и лицензирование

Протоколы, необходимые для создания компонентов метасистемы идентификации, могут использоваться кем угодно для любых целей без каких-либо затрат на лицензирование, а совместимые реализации могут быть созданы с использованием только общедоступной документации. Патентные обещания были выданы Microsoft, ИБМ, и другие, гарантирующие, что протоколы, лежащие в основе метасистемы идентичности, могут свободно использоваться всеми.

Информационные карты, определенные профилем совместимости Identity Selector версии 1.5. (или проект комитета OASIS IMI v1.0) основаны на открытых, совместимых стандартах связи. Совместимые компоненты i-card были созданы десятками компаний и проектов для платформ, включая Windows, Mac OS и Linux, а также прототип реализации для телефонов. Вместе эти компоненты реализуют совместимую метасистему удостоверений. Информационные карты можно использовать для идентификации как веб-сайтов, так и приложений веб-служб.

Несколько мероприятий по тестированию совместимости i-карт были спонсированы OSIS. и группа Бертон, один был на Interop на Европейской конференции по катализаторам в Барселоне в октябре 2007 года. и самое последнее из них состоялось на RSA 2008. Эти мероприятия помогают гарантировать, что различные программные компоненты информационных карт, создаваемые многочисленными участниками метасистемы удостоверений, работают вместе.

Протоколы, необходимые для создания реализаций информационных карт на основе профиля совместимости Identity Selector v 1.5. (или проект комитета OASIS IMI v1.0) может использоваться кем угодно для любых целей бесплатно, а совместимые реализации могут быть созданы с использованием только общедоступной документации. Патентные обещания были выданы Microsoft, ИБМ, и другие, обеспечивая свободный доступ к этой технологии информационных карт для всех.

В июне 2008 года лидеры отрасли, в том числе Equifax, Google, Microsoft, Novell, Oracle, PayPal и другие, создали Фонд информационных карт с целью продвижения использования метафоры информационных карт как ключевого компонента открытой, совместимой, бесплатной, уровень идентификации, ориентированный на пользователя, охватывающий как предприятие, так и Интернет.

В своем докладе о Interop на конференции Catalyst в Сан-Франциско в июне 2007 г. analyst Bob Blakley wrote:

Мероприятие по взаимодействию стало важной вехой в развитии технологии идентификации, ориентированной на пользователя. До мероприятия было несколько спецификаций, один коммерческий продукт и ряд проектов с открытым исходным кодом. После этого события можно точно сказать, что существует работающая метасистема идентичности.

История терминологии

Термин «информационная карта» был введен Microsoft в мае 2005 года как название метафоры визуальной информационной карты, которая будет представлена ​​в будущем программном обеспечении Windows CardSpace. До начала 2006 года информационные карты также иногда назывались под кодовым названием «InfoCard», которое не было названием, которое было свободно доступно для использования всеми. Карточка с информацией об имени была специально выбрана как карта, которая будет доступна всем, независимо от какого-либо продукта или реализации. Название «информационная карта» не является товарным знаком и является настолько общим, что не может быть зарегистрировано как товарный знак.

Термин i-card был представлен 21 июня 2006 года на конференции Berkman/MIT Identity Mashup. Намерение состояло в том, чтобы определить термин, который не был бы связан с какой-либо отраслевой торговой маркой или другой интеллектуальной собственностью или артефактом. В то время Microsoft еще не завершила применение обещания открытой спецификации. к протоколам, лежащим в основе Windows CardSpace, а также возникло недопонимание того, что термин «информационная карта» не был свободно доступен для использования всеми, поэтому в целях консервативности был введен термин «i-card».

Майк Джонс из Microsoft объяснил участникам сессии IIW 2007b что Microsoft всегда предполагала, что термин «информационная карта» будет использоваться в общем для описания всех видов информационных карт и чтобы его могли свободно использовать все, и попыталась исправить ранее существовавшее недоразумение, согласно которому этот термин может применяться только к типам информационных карт, первоначально определенным Microsoft. . Он утверждал, что для отрасли было бы лучше, если бы все использовали общую информационную карту терминов, чем если бы использовались два термина с одинаковым значением, поскольку не остается никаких юридических или технических оснований для использования разных терминов. В этом случае термин «i-card» станет просто сокращенной формой информационной карты, точно так же, как электронная почта стала сокращенной формой электронной почты.

Реализации программного обеспечения

• DACS - RP с открытым исходным кодом и информационная карта STS, написанная на C.
• Проект Хиггинса — конфигурация развертывания Identity Selector
• Windows CardSpace — работает на Windows Vista , Windows XP и Windows Server 2003.

См. также

• Цифровая идентификация
• Фонд информационных карт
• OpenID
• SAML

Ссылки

• Пространство клики: другой взгляд на идентичность , Оуэн Томас, ноябрь 2010 г.
• Parity обеспечивает бесплатное управление идентификацией в Интернете - на CNET , октябрь 2008 г. статья Роберта Вамози
• Видение Microsoft метасистемы идентичности , Майкл Б. Джонс, май 2005 г.
• Законы идентичности , Ким Кэмерон, май 2005 г.
• Обоснование дизайна архитектуры метасистемы идентичности , Ким Кэмерон и Майкл Б. Джонс, январь 2006 г.
• 7 законов идентичности: аргументы в пользу законов об идентичности, встроенных в конфиденциальность, в эпоху цифровых технологий , Энн Кавукян, комиссар по вопросам информации и конфиденциальности Онтарио, октябрь 2006 г.

Дополнительные ресурсы

• Лидеры технологий предпочитают онлайн-удостоверения личности паролям – статья New York Times от 24 июня 2008 г., объявляющая о создании Information Card Foundation
• Профиль совместимости Identity Selector , Арун Нанда, апрель 2007 г.
• Профиль совместимости Identity Selector v 1.5
• Проект комитета OASIS IMI v1.0
• Руководство по внедрению профиля совместимости Identity Selector V1.0 , Microsoft Corporation и Ping Identity Corporation, апрель 2007 г.
• Руководство по использованию профиля совместимости Identity Selector V1.0 в веб-приложениях и браузерах , Майкл Б. Джонс, апрель 2007 г.
• Обоснование дизайна архитектуры метасистемы идентичности , Ким Кэмерон и Майкл Б. Джонс, январь 2006 г.
• Образцы поддержки информационных карточек на веб-сайтах: персональные карточки для регистрации и входа в систему , Билл Барнс, Гаррет Серак и Джеймс Кози, август 2007 г.
• Обещание открытой спецификации Microsoft , май 2007 г.
• Обещание по спецификациям совместимости IBM , июль 2007 г.

Внешние ссылки

• Фонд информационных карт
• Объявление о значке информационной карточки , июнь 2007 г.
• Системы идентификации с открытым исходным кодом (OSIS)