Mehr IT-Sicherheit durch seriöse Identity-Checks
Identitäts-Management ist der Schlüssel für ein sicheres Internet

Mehr IT-Sicherheit durch seriöse Identity-Checks

Ich hasse es, Pressemitteilungen zu zitieren, aber manchmal ist es einfach notwendig. Bei dieser Mitteilung geht es um ein Interview mit Kim Cameron, Microsoft’s Chefarchitekt im Bereich der Identitäts-Services und Zugangskontrollen. Auf eine Frage hinsichtlich des Nutzens eines Meta-Systems für die Identitätskontrolle antwortete Cameron:” Es wird dazu beitragen, dass die Industrie technisch nicht in ein finsteres Mittelalter verfällt, wo wir im Internet keine Sicherheit haben”.

Wer das Identitätsproblem löst, beseitigt damit viele Probleme
Ich muss dem zustimmen. Die Identität ist das Problem Nr. 1, welchem das Netz gegenübersteht. Man löse das Identitätsproblem und gleichzeitig wird auch das Phishing verschwinden. Ebenso werden die meisten Probleme hinsichtlich des Betrugs auf den Seiten, die sich mit Bankgeschäften und Auktionen beschäftigen, gelöst werden. Man löse das Identitätsproblem bei E-Mails, und fast der ganze Spam wird verschwinden. Man löse das Identitätsproblem in den Chatrooms, und die meisten Gefahren für junge Menschen werden verschwinden. Man löse das Identitätsproblem bei den Webdiensten und es werden sichere geschäftliche Transaktionen möglich. Wenn wir schon dabei sind – wenn auch das Identitätsproblem bei Unternehmensprozessen gelöst wir, können die Firmen auch eher behördliche Regelungen einhalten.

Was ist also ein Identitäts-Meta-System? Cameron spricht über einen Standard für die Verbindung und Vereinheitlichung von Mehrfach-Verzeichnissen (Directories), die von verschiedenen Identitäts-Providern kommen.

Vor ein paar Jahren wurde Microsoft’s Passport verlacht, weil dieses System die persönlichen Informationen eines jeden Teilnehmers auf den Microsoft Servern zusammenfasste – aber auch wegen seiner Bugs. In vielerlei Hinsicht hat sich Microsoft nun auf die Linie des früheren Rivalen Liberty Alliance begeben, die Spezifikationen für geteilte Identitätsdienste unterstützt. Allerdings hat sich Microsoft für andere Standards entschieden. Das System der Liberty Alliance nennt sich ID-FF, während die von Microsoft bevorzugte Spezifikation WS-Federation heißt. Beide finden in der Industrie breite Unterstützung.

Die neue Beziehung zwischen Microsoft und Sun aber – wobei Sun ein Gründungsmitglied der Liberty Alliance ist – hat zu einem beträchtlichen Mehrwert der Angebote geführt.

In diesem Monat haben sie zwei neue Spezifikationen angekündigt, die sowohl die Interoperabilität unterstützen als auch ein webbasiertes singuläres Login für Umgebungen, die beides benutzen – sowohl ID-FF als auch WS-Federation.

Endlich arbeiten die Kontrahenten an einer gemeinsamen Lösung
Das singuläre Login Konzept birgt Risiken in sich, jedoch sind diese gering verglichen mit dem jetzigen Albtraum, mehrere Identitäten zu verwalten – wovon viele auf anfälligen Benutzernamen und unsicheren Passwort-Überprüfungen basieren. Aber man kann von dem singulären Login-in Konzept leicht verunsichert werden, weil die persönlichen Daten automatisch zwischen den verschiedensten Organisationen ausgetauscvht werden. Aber genau dies ist der Grund, weshalb ein Meta-System erforderlich ist.

Camerons Identity-Blog hat einen großen Einfluss dahingehend, dass die Diskussionen darüber wieder auf sachlicher Basis intensiviert wurden und natürlich auch, dass das beschädigte Image von Microsoft in diesem Bereich verbessert wurde.

Cameron schlägt sieben Vorschriften für das Identitäts-Management vor, einschließlich Grundsätzen wie minimale Offenlegung persönlicher Daten sowie absolute Einsicht und Kontrolle durch den User.

Ein Identitätssystem, das sich an solche Vorschriften hält, würde unsere Daten eher schützen als bedrohen. Statt die persönlichen Informationen an einem Platz aufzubewahren (wie beim ursprünglichen Passport angedacht), werden sie so verteilt, dass jede Organisation nur das hat, was für sie notwendig ist und keine der Organisationen hat alles. Cameron hat recht: Wenn das digitale Identitätsproblem richtig gelöst wird, fügen sich viele andere Dinge wie von selbst.