Identity Management mit OpenID

Transkript

1 Lehrstuhl Netzarchitekturen und Netzdienste Institut für Informatik Technische Universität München Identity Management mit OpenID Innovative Internet Technologien und Mobilkommunikation WS2008/2009 Verfasser: Steffen Märkl Betreuer: Holger Kinkelin

2 Agenda Identity Management Single Sign On Was ist das? Vor und Nachteile OpenID Was ist OpenID? Komponenten Freiheit bei der Wahl der OpenID Identifier und Identity Provider Wie funktioniert OpenID? Sicherheit Zusammenfassung Ausblick Identity Management mit OpenID 2

3 Identity Management (1/2) Zeitalter des Web Identity Management mit OpenID 3

4 Identity Management (2/2) Ansatz von Identity Management (IdM): Ein Account für alles Mehrere Profile (optional) Konsistente (Widerspruchsfreiheit), authentische (Echtheit) und dauerhafte Bereitstellung von personenbezogenen Daten Redundanzfreiheit Sicherheit über Identität der Online Kommunikationspartner Benutzerfreundlichkeit Identity Management mit OpenID 4

5 Single Sign On Was ist SSO? Oft im Zusammenhang mit IdM Systemen genannt Prinzip der Einmalanmeldung Einmalige Authentifizierung Zugriff auf alle Rechner und Dienste, für die er berechtigt ist Erste Identifikation durch Benutzer SSO System übernimmt von nun an die Aufgabe, den Anwender an Diensten und Systemen zu identifizieren IdM Systeme = SSO Systeme mit verschiedenen Erweiterung und in unterschiedlichem Umfang Identity Management mit OpenID 5

6 Single Sign On Vor und Nachteile Vorteile Nachteile Spart Zeit (mit steigender Zahl der Websites und Dienste) Unterwegs nur ein Login Passwort kann sicherer gewählt werden Passwort muss nur noch einmal zum SSO Server übertragen werden weniger Angriffsmöglichkeiten SSO und IdM Systeme die mit SmartCards oder kryptographischen Token gekoppelt extrem sicheres Authentifizierungsverfahren Zentrale Datenhaltung und Einfachheit (eine UserID und ein Passwort für alles Dienste) Single Point of Attack Risiko für Betreiber einer Website mit SSO Authentifizierung Abhängig von der Verfügbarkeit des SSO Systems Single Point of Failure Zentrale Datenhaltung Verbesserung der Konsistenz und erleichterte Administration Benutzer sensibilisiert Identity Management mit OpenID 6

7 OpenID Was ist OpenID? IdM System Offenes, dezentral angelegtes Open Source System für digitale Benutzeridentitäten Viele dezentrale OpenID Provider Freiheit für den Benutzer Benutzer kann eigenen Server betreiben Vor und Nachteile eines SSO Systems ersetzt klassischen Anmeldeprozess Unterschied zu SSO System: Attribute (Profile) Unterschied zu anderen großen IdM Systemen wie Shibboleth oder dem Liberty Alliance Project: wesentlich schlanker weniger komplex funktionsärmeres System Allerdings: verfolgt anderen Ansatz User centric vs. Institution centric Identity Management mit OpenID 7

8 OpenID Komponenten Website/Webserver an dem sich Benutzer anmelden will eigentlicher Konsument, der vom IdP gelieferten Daten bzw. des gesamten Dienstes ist Server auf dem Benutzerinformationen hinterlegt sind eigentliche Authentifizierung Identity Provider (IdP) Consumer (Relying Party) Server auf den die ID des End Users verweist Verweis auf IdP Webbrowser Identifier End User User Agent Benutzer der sich mit OpenID anmelden will Identity Management mit OpenID 8

9 OpenID Freiheit bei der Wahl der OpenID (1/2) Auf Webanwendungen konzentriert Identifizierung mittels URL (z.b. benutzer.provider.tld) Zuerst: bei einem Identity Provider, z.b. myopenid.com, pip.verisignlabs.com oder myid.net anmelden Danach: prinzipiell jede beliebige Webadresse als OpenID nutzbar Voraussetzungen: Man ist im Besitz dieser URL URL kann von jedem Browser aufgerufen werden Tag als Verweis auf den eigentlichen Dienstleister, in den Quellcode der Seite Identity Management mit OpenID 9

10 OpenID Freiheit bei der Wahl der OpenID (2/2) Vielzahl von Benutzern besitzen sogar schon eine OpenID, ohne es zu wissen Folgende Anbieter bieten ihren Benutzern an die vorhandenen Authentifizierungsmechanismen über das OpenID Protokoll zu nutzen Quelle: Identity Management mit OpenID 10

11 OpenID Identifier und Identity Provider In der Regel: Anwender nutzt OpenID des Identity Providers Aber: nicht verpflichtend (jede beliebige URL als OpenID verwendbar) Ausschlaggebend: Informationen die auf der als OpenID angegebenen Seite integriert sind (OpenID Identity URL Page) Notwendig: Tag im Quellcode der Website mit Verweis auf IdP <link rel= openid.server href= /> <link rel= openid.delegate href= maxmustermann.myopenid.com /> OpenID jeder Zeit änderbar Identity Management mit OpenID 11

12 OpenID Wie funktioniert OpenID? Aktueller Vorgang: Bekommt Aufruf Übermittelt Holt Weiterleitung Austausch Signierte Information Einloggen IdP Info Anmeldemaske der Website beim eines OpenID (optinal) an IdP shared secret über End User Erfolg eingeloggt oder Misserfolg Consumer User Agent Identifier Identity Provider Identity Management mit OpenID 12

13 OpenID Sicherheit Jeder darf als Provider agieren? wie sicher kann das Verfahren dann sein? Verfahren nur so sicher wie die hostende Website des Consumers bzw. deren Quellcode liegt in den Händen des Betreibers Manipulation Umleitung der gesamten Kommunikation zu einem anderen Identity Provider Möglichkeit: Consumer kann festlegen wem er vertraut erhöhte Sicherheit durch Vorselektion Weiterleitung auf die Seite des OpenID Providers nötig gegenüber Phishing Attacken anfällig OpenID Provider können dies umgehen, z.b. TLS Zertifikat zur Authentifizierung nutzen. (wird von vielen Providern unterstützt) Inhalt der Nachrichten jedoch nicht imitierbar, da TLS und zusätzliche Challenge Identity Management mit OpenID 13

14 Zusammenfassung OpenID viele Vor und einige Nachteile Schwachstellen durch die mangelnde Absicherung der Consumer Websites oder die Unaufmerksamkeit der Benutzer Durch Selektion der akzeptierten IdP des Consumers: Entweder: Verzicht auf Sicherheit, gewährt Nutzer größtmögliche Freiheit bei Wahl seines IdP Oder: Legt erhöhten Wert auf Sicherheit vertraut nur ausgewählten IdPs schränkt Anwender ein größtes Handicap: recht geringe Verbreitung unter den Anbietern und die damit einhergehende noch mäßige Popularität unter den Benutzern Anwendungen und Dienste mit vergleichsweise wenig komplexer Identifizierung (z.b. Blogs): OpenID steigende Beliebtheit In Businesssektor hat OpenID bisher keinen nennenswerten Einzug gefunden Generell IdM: mangelnde Interoperabilität der verschiedenen Lösungen untereinander (große Unterschiede im Leistungsspektrum) Identity Management mit OpenID 14

15 Ausblick Im letzten Jahr hat sich die Anzahl der Consumer mehr als verdreifacht Heute gibt es über öffentlich zugängliche Seiten die OpenID als Anmeldeverfahren akzeptieren und über eine halbe Milliarde OpenID Accounts Identity Management mit OpenID 15

16 Fragen? Vielen Dank für die Aufmerksamkeit Gibt es noch Fragen? Identity Management mit OpenID 16