Информационная карта - Information card

I-карты, отображаемые в Windows CardSpace Identity Selector

Информационные карты - это личные цифровые идентификаторы, которые люди могут использовать в Интернете, и ключевой компонент метасистема идентичности. Визуально каждая i-карта имеет изображение в форме карты и связанное с ней имя карты, что позволяет людям упорядочивать свои цифровые идентификаторы и легко выбирать ту, которую они хотят использовать для любого конкретного взаимодействия. Метафора информационной карты реализуется такими селекторами личности, как Windows CardSpace, DigitalMe или Селектор идентичности Хиггинса.

An метасистема идентичности это интероперабельная архитектура для цифровая идентичность который позволяет людям иметь и использовать набор цифровых удостоверений на основе нескольких базовых технологий, реализаций и поставщиков. Используя этот подход, клиенты могут продолжать использовать свои инвестиции в существующую инфраструктуру идентификации, выбирать технологию идентификации, которая лучше всего подходит для них, и более легко переходить от старых технологий к новым технологиям, не жертвуя совместимостью с другими. Метасистема идентичности основана на принципах «Законов идентичности».[1]

Обзор

Информационные карточки, отображаемые в DigitalMe Identity Selector

Есть три участника в цифровая идентичность взаимодействия с использованием информационных карточек:

  • Поставщики удостоверений выпускать для вас цифровые удостоверения. Например, предприятия могут выдавать удостоверения личности своим клиентам, правительства могут поручиться за удостоверения личности своих граждан, эмитенты кредитных карт могут предоставить удостоверения личности, позволяющие производить оплату, онлайн-сервисы могут предоставлять проверенные данные, такие как возраст, а отдельные лица могут использовать самостоятельно выданные удостоверения личности для входа в систему. на веб-сайты.
  • Проверяющие стороны (RP) принимают за вас удостоверения личности. Онлайн-сервисы, которые вы используете, могут принимать цифровые удостоверения, которые вы выбираете, и использовать информацию, предоставленную ими от вашего имени, с вашего согласия.
  • Предмет Вы являетесь стороной, контролирующей все эти взаимодействия. Субъект может выбрать, какой из своих применимых цифровых идентификаторов использовать с проверяющей стороной.

Селекторы

Microsoft Windows CardSpace реализация селектора идентичности

Селектор удостоверений используется для хранения, управления и использования их цифровых удостоверений. Примеры селекторов удостоверений: Windows CardSpace, то Бандитский проект DigitalMe,[2] и несколько видов селекторов идентичности из Фонд Затмения проект Хиггинса.

Селектор идентификации выполняет следующие задачи управления идентификацией, ориентированные на пользователя:

  • Обеспечивает согласованный пользовательский интерфейс для аутентификации (и в некоторых случаях других видов взаимодействия) с RP (также известный как поставщик услуг).
  • Обеспечивает пользовательский интерфейс который отображает набор значков информационных карт, из которых пользователь выбирает свою предпочтительную i-карту, когда аутентификация требуется локальным приложением или проверяющей стороной (например, страница входа на веб-сайт).
  • Предоставляет пользовательский интерфейс для создания и управления личный (также известен как самостоятельно выданный) информационные карточки.
  • Предоставляет локальную службу токенов безопасности, которая используется для выпуска токенов безопасности для личных i-карт.
  • Предоставляет пользовательский интерфейс для импорта и экспорта информационных карточек в стандартные форматы файлов.
  • Вызывается расширением браузера или локальным многофункциональным клиентским приложением.

Селектор идентичности может также позволить пользователю управлять (например, создавать, просматривать, обновлять и удалять карты внутри) своим портфелем i-карт.

Метасистемы идентичности

В метасистеме идентификации есть пять ключевых компонентов:

  • Способ представления личности с помощью претензии. Заявки передаются в токенах безопасности в соответствии с WS-Безопасность.
  • Средство для поставщиков удостоверений, доверяющих сторон и субъектов вести переговоры. Динамическое согласование утверждений, которые должны быть доставлены, и используемого формата токена безопасности позволяет метасистеме удостоверений переносить любой формат токена и любые виды утверждений, необходимых для взаимодействия с цифровым удостоверением. Переговоры происходят с использованием WS-SecurityPolicy обмен заявлениями с использованием WS-MetadataExchange.
  • An протокол инкапсуляции для получения претензий и требований. В WS-Trust и WS-Federation протоколы используются для передачи запросов токенов безопасности и ответов, содержащих эти токены.
  • Средство для преодоления технологических и организационных границ с помощью преобразование требований. Услуги токенов безопасности (STS), как определено в WS-Trust, используются для преобразования содержимого и форматов утверждений.
  • А согласованный пользовательский опыт в различных контекстах, технологиях и операторах. Это достигается с помощью клиентского программного обеспечения селектора удостоверений, такого как Windows CardSpace, представляющего цифровые удостоверения, принадлежащие пользователям, в виде визуальных i-карт.

Родовые качества

  • I-карты создаются организацией, известной как эмитент.
  • I-карты отображают название эмитента (IssuerName) в текстовой строке.
  • I-карты имеют текстовую строку для идентификации карты (cardName), который изначально устанавливается эмитентом карты. Обычно это имя карты редактируется пользователем.
  • I-карты могут иметь (Гифка или же JPEG ) фоновая картинка (cardImage) устанавливается эмитентом карты (редактируется пользователем).
  • В большинстве интерактивных карточек пользователь может видеть сумму претензий.

Возможности входа

Рисунок, используемый для обозначения поддержки информационных карт

Используя i-card, пользователи могут проходить аутентификацию без необходимости вводить имя пользователя и пароль для каждого веб-сайта; вместо этого на сайтах, принимающих их, они могут войти в систему с помощью i-card, которую можно использовать на нескольких сайтах.

Каждая информационная карта использует отдельный попарный цифровой ключ для каждой области, в которой запрашивается ключ. Область может быть одним сайтом или набором связанных сайтов, которые используют одну и ту же информацию о целевой области при запросе информационной карты. Использование отдельных парных ключей для каждой области означает, что даже если человека обманом заставят войти на сайт-самозванец с помощью i-card, на этом сайте будет использоваться другой ключ, чем тот, который самозванец пытался выдать себя; общий секрет не разглашается.

Кроме того, многие селекторы идентичности предоставляют средства фишинг обнаружение, где HTTPS сертификат сайта проверяющей стороны проверяется и сравнивается со списком сайтов, на которых пользователь ранее использовал информационную карту. При посещении нового сайта пользователю сообщается, что он ранее не использовал там карту.

Типы i-карт

Профиль взаимодействия Identity Selector версии 1.5[3] (или проект комитета OASIS IMI v1.0)[4] определяет два типа информационных карт, которые должен поддерживать селектор удостоверений.

  • Карты с личной информацией: (Также называемый самостоятельно выданный) эти карты позволяют выпускать претензии о себе на сайты, готовые их принять. Эти утверждения могут включать ваше имя, адрес, номера телефонов, адрес электронной почты, веб-адрес, дату рождения, пол и ключ для конкретного сайта, уникально сгенерированный для каждого сайта, на котором используется карта.
  • Управляемые информационные карты: Эти карты позволяют другим поставщикам удостоверений, кроме вас, делать претензии о вас сайтам, готовым их принять. Эти утверждения могут включать любую информацию, которую запрашивает RP, которую может предоставить поставщик удостоверений, и которую вы готовы передать между ними.

В Проект Хиггинса также определяет два новых вида i-карт:

  • Карты отношений (или R-карты) используются для установления постоянных отношений между несколькими сторонами.
  • Карты с нулевым разглашением (или Z-карты)

Однако формат информационной карты позволяет использовать пользовательские типы; Проект Bandit продемонстрировал прототип управляемых карт, поддерживаемых OpenID на Novell BrainShare конференция в марте 2007 г.

Персональные карты

Первый тип персональных информационных карт был также представлен как часть программного обеспечения Microsoft Windows CardSpace в ноябре 2006 года. Их поведение также определяется теми же документами, которые касаются управляемых карт, определенных Microsoft (см. Выше).

Сводка характеристик:

  • Формат данных XML-файл, содержащий: набор типов требований URI а также (определяемые пользователем) значения этих утверждений, cardImage, уникальный cardID и т. д. Этот формат данных определен в документах ISIP.
  • Эмитент: Собственный Селектор идентичности. Персональные карты можно описать как самостоятельно выданный
  • Бытие: Создается селектором идентификации пользователя.
  • Претензии: 15 предопределенных типов заявок (например, имя, фамилия, адрес электронной почты и т. Д.) Определены в профиле взаимодействия Identity Selector версии 1.5.[3] (или проект комитета OASIS IMI v1.0).[4]
  • Орган власти: Селектор идентификатора пользователя - это орган для набора значений утверждений выданного токена.
  • Поток данных: По запросу (например, по мере необходимости проверяющего сайта) СТС local в Identity Selector создает маркер безопасности с текущими значениями.
  • Возможность редактирования: Значения претензий доступны для непосредственного редактирования пользователем.
  • Источник данных атрибута: XML-файл личной карты содержит значения требований. При импорте в Identity Selector эти значения данных затем управляются внутренним селектором.

Управляемые информационные карты

Первый тип управляемых карт был представлен как часть программного обеспечения Microsoft Windows CardSpace в ноябре 2006 года. Поведение, формат файла и характеристики взаимодействия этих типов управляемых карт определены в таких документах Microsoft, как Identity Selector Interoperability Profile v 1.5.[3] (или проект комитета OASIS IMI v1.0;[4] см. self-issued.info[5] для более полного списка), в сочетании с открытыми стандартами, включая WS-Trust[6] и другие.

Сводка характеристик:

  • Формат данных: XML-файл, содержащий: конечную точку сети STS, набор URI типа утверждения, имя карты, cardImage, IssuerName, уникальный cardID и т. д. Формат файла XML определен в документах ISIP.
  • Эмитент: Внешняя сторонняя служба токенов (представляющая внешнее лицо или организацию).
  • Бытие: Управляемая карта создается службой маркеров безопасности, работающей на сайте поставщика удостоверений, и импортируется в средство выбора удостоверений пользователя.
  • Претензии: Список поддерживаемых типов утверждений (URI типов утверждений) определяется издателем.
  • Орган власти: Эмитент является единственным органом власти для значений утверждений, содержащихся в выпускаемом им токене.
  • Поток данных: Управляемые карты содержат ссылку на конечную точку сети для СТС что по запросу Identity Selector (с использованием WS-Trust и т. д.) генерирует / предоставляет маркер безопасности, содержащий требуемые утверждения.
  • Возможность редактирования: Базовые данные атрибута не напрямую редактируется пользователем.
  • Источник данных атрибута: Определяется эмитентом и обычно управляется эмитентом.

I-карты, выпущенные третьими сторонами, могут использовать любой из четырех способов аутентификации пользователя как владельца карты:

  • а Персональная информационная карта (самостоятельно),
  • ан X.509 свидетельство (который может быть от аппаратного устройства, такого как Интеллектуальная карточка или это может быть сертификат ПО),
  • а Kerberos билет, например, выданный многими корпоративными решениями для входа в систему, или
  • а имя пользователя и пароль для карты.

Дополнительные методы также могут быть реализованы будущими селекторами удостоверений и поставщиками удостоверений.

Управляемые i-карты можно аудиторская проверка, неаудиторский, или же аудит-необязательный:

  • Аудиторская проверка карты требуют удостоверения личности RP сайт, который должен быть раскрыт поставщику удостоверений. Это можно использовать для ограничения того, на какие сайты поставщик удостоверений готов предоставить информацию.
  • Неаудиторский карты не будут раскрывать личность сайта RP поставщику удостоверений.
  • Аудит-необязательный карты будут раскрывать личность сайта Проверяющей стороны, если предоставлены RP, но не требуют такого раскрытия.

Карты отношений

Карты взаимоотношений разрабатываются проектом Хиггинса (см. Отчет Пола Тревитика).[7]

Сводка характеристик:

  • Формат данных: Управляемая карта, поддерживающая требование ресурса-udi.
  • Поддерживаемые претензии: Как и все управляемые (или персональные) карты, r-карты включают список поддерживаемых типов требований (выраженных как URI), как это определено эмитентом. Этот набор определяет максимальный набор утверждений, которые эмитент будет включать в свой сгенерированный токен безопасности. Эти утверждения наследуются от базовой карты ISIP-m-card, на которой она основана, и используются для тех же целей. Помимо управляемых карт, «мета» -тверждение resource-udi предоставляет ссылку на набор атрибутов.
  • Орган власти: Эмитент является органом власти для набора значений утверждений выпущенного токена (в соответствии с обычной управляемой или личной картой).
  • Возможность редактирования: Значения базовых атрибутов (на которые ссылается утверждение resource-udi) май быть доступным для редактирования сторонам, кроме эмитента.
  • Поддерживаемые атрибуты: Значение ресурса udi r-card - это Entity UDI.[8] (URI), который «указывает» на объект данных (представляющий человека, организацию или другой объект). Набор атрибутов этого объекта данных отличается от упомянутых выше «поддерживаемых утверждений» (хотя обычно они являются расширенным набором).

Опора на модель данных Хиггинса

Концептуально управляемая карта - это, по сути, удобный для человека "указатель" на службу токенов - веб-службу (например, СТС ), у которых можно запросить токены безопасности. Маркер безопасности - это набор утверждений атрибутов (также называемых утверждениями) о какой-либо стороне, которые криптографически подписаны эмитентом (служба токенов, действующая как орган). R-карта содержит второй «указатель», который указывает на объект данных, значения атрибутов которого (i) являются общими для всех сторон r-карты и (ii) образуют базовые атрибуты, которые потребляются STS эмитента r-карты. и укажите значения утверждений, которые делает эта СС. Включив этот второй «указатель» на r-карту, держатели r-карты могут получить доступ и обновить некоторое подмножество этих базовых атрибутов. Эмитент карты поддерживает политику контроля доступа, чтобы контролировать, у кого какой уровень доступа.

Этот второй указатель является Entity UDI.[8]- ссылка на Юридическое лицо объект в модели данных контекста Хиггинса.[9] UDI сущностей можно разыменовать и получить доступ к базовым атрибутам сущности с помощью проекта Хиггинса. Служба атрибутов идентификации.[10] После разрешения потребители этой службы могут проверять и потенциально изменять атрибуты объекта, а также получать его схему, как описано в Язык веб-онтологий (СОВА).

В дополнение к базовым значениям атрибутов идентичности, таким как строки и числа, объект данных, на который ссылается r-card, может иметь сложные значения атрибутов, состоящие из совокупностей основных типов атрибутов, а также ссылок UDI на другие объекты.

Претензии

Информационные карточки могут использоваться не только для входа на сайты, но и для других видов взаимодействия. Модель информационной карты обеспечивает большую гибкость, поскольку карты могут использоваться для передачи любой информации от поставщика удостоверений Проверяющей стороне, которая имеет смысл для них обоих и которую человек готов предоставить. Элементы данных, хранящиеся в i-card, называются Претензии.

Одним из возможных вариантов использования заявлений является онлайн-проверка возраста, при этом поставщики удостоверений предоставляют карты, подтверждающие возраст, а RP принимают их для таких целей, как продажа вина через Интернет; другие атрибуты также могут быть проверены. Другой - это онлайн-платежи, когда продавцы могут принимать онлайн-платежные карты от эмитентов платежей, содержащие только минимальную информацию, необходимую для облегчения оплаты. Формулировки ролей, содержащиеся в утверждениях, могут использоваться Проверяющими сторонами для принятия решений по управлению доступом.

Совместимость и лицензирование

Протоколы, необходимые для создания компонентов Identity Metasystem, могут использоваться кем угодно для любых целей без затрат на лицензирование, а совместимые реализации могут быть созданы с использованием только общедоступной документации. Патентные обещания были даны Microsoft,[11] IBM,[12] и другие, гарантирующие, что протоколы, лежащие в основе метасистемы идентификации, могут свободно использоваться всеми.

Информационные карты, определенные профилем взаимодействия Identity Selector версии 1.5[3] (или проект комитета OASIS IMI v1.0)[4] основаны на открытых интероперабельных стандартах связи. Совместимые компоненты i-card были созданы десятками компаний и проектов для платформ, включая Windows, Mac OS и Linux, а также были созданы прототипы для телефонов. Вместе эти компоненты реализуют взаимодействующую метасистему идентификации. Информационные карты могут использоваться для идентификации как веб-сайтов, так и приложений веб-служб.

OSIS спонсировала несколько мероприятий по тестированию совместимости i-карт.[13] и Burton Group,[14] один был на Interop в октябре 2007 года на конференции European Catalyst Conference в Барселоне.[15] и последнее было на RSA 2008. Эти мероприятия помогают гарантировать, что различные программные компоненты информационных карт, создаваемые многочисленными участниками метасистемы идентификации, хорошо работают вместе.

Протоколы, необходимые для создания реализаций информационных карт на основе профиля взаимодействия Identity Selector версии 1.5.[3] (или проект комитета OASIS IMI v1.0)[4] может использоваться кем угодно для любых целей бесплатно, а совместимые реализации могут быть созданы с использованием только общедоступной документации. Патентные обещания были даны Microsoft,[11] IBM,[12] и другие, обеспечивая свободный доступ к этой технологии информационных карт.

В июне 2008 года лидеры отрасли, включая Equifax, Google, Microsoft, Novell, Oracle, PayPal и другие, создали Фонд информационных карт чтобы продвинуть использование метафоры «Информационная карта» в качестве ключевого компонента открытого, функционально совместимого, бесплатного, ориентированного на пользователя уровня идентификации, охватывающего как предприятие, так и Интернет.

В своем отчете о взаимодействии на конференции Catalyst в Сан-Франциско в июне 2007 г.[16] аналитик Боб Блейкли писал:

Событие взаимодействия стало важной вехой в развитии технологии идентификации, ориентированной на пользователя. Перед мероприятием были некоторые спецификации, один коммерческий продукт и ряд проектов с открытым исходным кодом. После события можно точно сказать, что есть запущенная метасистема идентификации.

История терминологии

Термин «информационная карта» был введен Microsoft в мае 2005 года как название метафоры визуальной информационной карты, которая будет введена в ее предстоящем программном обеспечении Windows CardSpace. До начала 2006 года информационные карточки также иногда назывались кодовым названием «Инфокарта», которое не было именем, которое было свободно доступно для всех. Информационная карта имени была специально выбрана как карта, которая будет доступна для всех в свободном доступе, независимо от продукта или реализации. Название «информационная карточка» не является товарным знаком и является настолько общим, что не может быть товарным знаком.

Термин i-card был представлен 21 июня 2006 г. на конференции Berkman / MIT Identity Mashup.[17][18] Намерение состояло в том, чтобы определить термин, который не был связан с какой-либо отраслевой TM, другим IP или артефактом. В то время Microsoft еще не завершила применение обещания открытой спецификации.[11] к протоколам, лежащим в основе Windows CardSpace, а также возникло неправильное понимание того, что термин «информационная карта» не был доступен для всеобщего бесплатного использования, поэтому, чтобы быть консервативным, был введен термин i-card.

Майк Джонс из Microsoft объяснил участникам сессии IIW 2007b[19] что Microsoft всегда предполагала, что термин информационная карточка будет использоваться в общем для описания всех видов информационных карточек и быть доступной для всех, и попыталась исправить ранее высказанное недоразумение о том, что термин может применяться только к видам информационных карточек, первоначально определенным Microsoft. . Он привел доводы в пользу того, что для отрасли будет лучше, если каждый будет использовать общую информационную карточку с термином, чем использовать два термина с одинаковым значением, поскольку нет никаких юридических или технических причин для использования разных терминов. В этом случае термин i-card стал бы сокращенной формой информационной карты, как и электронное письмо стала короткой формой электронной почты.

Программные реализации

Смотрите также

Рекомендации

  1. ^ «Законы идентичности». 5 июня 2011. Архивировано с оригинал 5 июня 2011 г.
  2. ^ «DigitalMe - Bandit - Trac». 13 октября 2008 г. Архивировано с оригинал 13 октября 2008 г.
  3. ^ а б c d е http://download.microsoft.com/download/1/1/a/11ac6505-e4c0-4e05-987c-6f1d31855cd2/Identity_Selector_Interoperability_Profile_V1.5.pdf
  4. ^ а б c d е http://www.oasis-open.org/committees/download.php/29979/identity-1.0-spec-cd-01.pdf
  5. ^ «Майк Джонс: самоиздание» Опубликованы обновленные версии документов профиля информационной карты ». self-issued.info.
  6. ^ http://specs.xmlsoap.org/ws/2005/02/trust/WS-Trust.pdf
  7. ^ Веб-мастер. «Архивные проекты». www.eclipse.org.
  8. ^ а б http://parity.com/udi[постоянная мертвая ссылка ]
  9. ^ «Модель данных контекста 1.0 - Eclipsepedia». wiki.eclipse.org.
  10. ^ «Служба атрибутов идентификации 1.0 - Eclipsepedia». wiki.eclipse.org.
  11. ^ а б c «Обещание открытой спецификации». www.microsoft.com.
  12. ^ а б «Портал с открытым исходным кодом IBM». 8 октября 2007 г. Архивировано с оригинал 8 октября 2007 г.
  13. ^ «Системы идентификации с открытым исходным кодом OSIS». osis.idcommons.net.
  14. ^ «Gartner для технических специалистов - ИТ-исследования - Gartner Inc». www.burtongroup.com.
  15. ^ http://identityblog.burtongroup.com/bgidps/2007/10/osis-user-centr.html
  16. ^ http://identityblog.burtongroup.com/bgidps/2007/08/recapping-the-c.html
  17. ^ «Заметки о конференции MIT Identity Mashup». Архивировано из оригинал на 2009-03-03. Получено 2010-09-25.
  18. ^ "Подробнее об I-Cards и I-Names". 28 июля 2006 г.
  19. ^ "Iiw2007b - IIW". iiw.idcommons.net.

Дополнительные ресурсы

внешняя ссылка