211service.com
Klucz parkingowy dla Twojej tożsamości
W miarę mnożenia się usług online, które wykorzystują dane osobowe, coraz częściej użytkownicy muszą przekazywać dane z jednej usługi do drugiej. Często wymaga to od użytkowników przekazania nazw użytkowników i haseł, pomimo oczywistych zagrożeń bezpieczeństwa. Nowy projekt open source o nazwie Autoryzacja OAuth , wydany na początku tego miesiąca, ma na celu rozwiązanie tego problemu poprzez umożliwienie użytkownikom przyznania usługom klucza dostępu do ich tożsamości zamiast pełnego dostępu.
Dostęp do tokena: Usługi internetowe mogą używać protokołu OAuth do udostępniania poufnych danych bez zmuszania użytkownika do pełnego dostępu do swojej tożsamości. Powyższy diagram przedstawia przepływ żądań, gdy usługi żądają od siebie danych i autoryzacji.
Chris Messina , który pomagał w organizacji produkcji OAuth, twierdzi, że system da ludziom kontrolę nad sposobem, w jaki przekazują swoje dane za pośrednictwem usług internetowych, a także zapewni im nieco większe bezpieczeństwo. System umożliwia użytkownikowi uzyskanie tokena za pośrednictwem jednej witryny i przekazanie go do innej. Token następnie dyktuje, do czego druga strona może uzyskać dostęp iw jaki sposób. Aby to osiągnąć, protokół musi zdefiniować standardowe sposoby identyfikowania danych przez witryny i określać, co mają z nimi zrobić. Do działania OAuth wymaga, aby obie witryny miały zaimplementowany protokół. Użytkownik nie musi być tego świadomy.
Wraz z Messiną, Blaine Cook z Świergot i Larry Halff z Magnolia pracował, aby rozpocząć projekt.
Przekazywanie nazw użytkowników i haseł jest coraz powszechniejszą cechą serwisów społecznościowych, w tym znanych serwisów, takich jak Facebook oraz LinkedIn . W początkowej fazie rejestracji witryna prosi użytkownika o wprowadzenie danych uwierzytelniających dla jej kont e-mail, aby mogła wyszukiwać osoby, które może znać. To również typowe dla witryn, które dają użytkownikom możliwość zaproszenia swoich istniejących kontaktów do przyłączenia się do sieci. Ale Messina mówi, że jest inny, niezamierzony rezultat tej praktyki: uczy użytkownika, jak przekazywać nazwy użytkowników i hasła jak konfetti, mówi.
Multimedialne
Zobacz, jak działa OAuth.
Byli Hammer-Lahav , który służył jako redaktor podstawowej specyfikacji OAuth, mówi, że przestroga pojawiła się na początku tego roku, kiedy portal społecznościowy o nazwie keczup wykorzystał dostęp do kont e-mail dzięki tej funkcji, aby wysłać zaproszenia do każdej osoby z listy kontaktów nowego użytkownika. Co gorsza, wielu osobom wydawało się, że e-maile pochodzą od użytkownika, a nie od firmy. Hammer-Lahav twierdzi, że ostrzeżenie jest skierowane nie tyle do konkretnego miejsca, co do systemu, który wymaga poprawy. Rdzeń dotyczy tak naprawdę tego, co nazywamy trójkątem miłosnym, mówi. Wyjaśnia, że trójkąt miłosny to relacja między użytkownikiem a dwoma usługami sieciowymi, które muszą dzielić się danymi.
Dodaje, że obecnie staje się to powszechne w witrynach do zarządzania finansami, takich jak: Jak prosić o hasła w celu agregowania informacji dla użytkowników. Hammer-Lahav twierdzi, że nie tylko stwarza zagrożenie bezpieczeństwa, ale w rzeczywistości nie jest to najlepszy sposób na udostępnianie informacji przez witryny. Witryny agregujące często muszą usuwać informacje finansowe ze stron bankowych, szkoląc swoje oprogramowanie, aby szukało pewnych wskazówek w źródle strony, które sygnalizują kluczowe fragmenty danych. Jak mówi, problem polega na tym, że jeśli bank zmieni wygląd strony, wskazówki mogą się zmienić, przez co agregator nie będzie mógł odczytać informacji. Hammer-Lahav twierdzi, że system taki jak OAuth umożliwia stronom bezpośrednie udostępnianie informacji.
Pomysł tego typu systemu nie jest nowy, mówi Terrell Russell , współtwórca internetowego systemu zarządzania tożsamością Identyfikator roszczenia . Google , na przykład ma istniejący zastrzeżony protokół, który ma możliwości podobne do OAuth. Jednak Russell mówi, że brak jednego standardu utrudnia programistom i zachęca ich do proszenia o podanie nazwy użytkownika i hasła. Russell twierdzi, że rozwiązanie problemu umożliwiającego usługom sieciowym bezpieczne udostępnianie danych stanie się ważniejsze, gdy więcej danych będzie migrować do sieci.
OAuth jest wdrażany przez Twitter i Ma.gnolia, a fragmenty standardu pojawiają się w Google OpenSocial Platforma. Chociaż pierwsze wydanie jest podstawowym protokołem zawierającym podstawy wymiany tokenów między witrynami, Hammer-Lahav twierdzi, że późniejsze wersje zapewnią użytkownikom lepszą kontrolę nad tym, w jaki sposób przyznają dostęp do swoich danych.