Vähemmilläkin tunnuksilla pärjäisi
Pertti Hämäläinen • Piirros: Petri Rotsten
Vähemmilläkin tunnuksilla pärjäisi
Käyttäjien toivoma kertakirjautuminen ei toimi vielä edes useimmissa yritysverkoissa, internetistä puhumattakaan.
Monet web-sivustot kauppapaikoista sähköposteihin ja sosiaalisen verkottumisen palveluista median sivustoihin vaativat kirjautumisen. Käyttäjät halutaan tunnistaa monestakin syystä.
Maksullinen palvelu tarvitsee käyttäjätiedot veloitusten hoitamista varten. Tällaisten palvelujen käyttäjiltä pitää saada ennen kaikkea laskutusosoite, luottokortin numero tai ladattavan sähköisen lompakon veloittamiseen tarvittavat tunnistetiedot.
Myös maksuttomat palvelut haluavat tuntea käyttäjänsä. Esimerkiksi keskustelupalstoilla kirjoittajat erottuvat toisistaan käyttäjätunnuksen avulla, ja sivuston ylläpitäjä voi blokata tunnuksen keskustelijan yltyessä asiattomuuksiin.
Ilmoitusmyynnillä elävät kuluttajasivustot taas ovat kiinnostuneita kävijöiden demografiatiedoista kuten iästä, asuinpaikkakunnasta ja sosioekonomisesta asemasta. Nämä ovat rahanarvoista tavaraa mainosmyynnissä.
Näistä tiedonjyväsistä koostuu nettiä selaavan käyttäjän identiteetti. Satunnainen kävijä saa useimmilta sivustoilta paljon tietoja ilman kirjautumistakin. Aktiivinen osallistuminen tai todella hyödyllisten tietojen saaminen edellyttää kuitenkin yleensä identiteetin luontia kyseiseen palveluun.
Käytännössä samat tiedot pitää syöttää kerta toisensa jälkeen eri palveluihin. Lopulta tunnuksia ja salasanoja kertyy aivan liikaa muistettavaksi ja muuttuneiden tietojen päivittäminen eri palveluihin on työlästä. Olisi paljon kätevämpää, jos kaikkiin eri palveluihin kelpaisi yksi ja sama identiteetti.
Identiteetit hallintaan
Novell julkisti jo vuonna 1999 Digitalme-projektinsa. Siinä käyttäjän annettiin luoda nettiin omia digitaalisia identiteettejään ja kirjautua eri palveluihin valitsemassaan roolissa. Näin työminä voitiin kätevästi erottaa vapaa-ajan minästä.
Samana vuonna Microsoft julkisti Passport-palvelunsa, jonka se oli alun perin kehittänyt Hotmail-sähköpostinsa kirjautumisjärjestelmäksi. Perusideana oli päästää käyttäjä yhdellä kirjautumisella kaikkiin yhtiön nettipalveluihin. Microsoft yritti myydä palveluaan sähköisille kauppapaikoille saamatta juuri minkäänlaista vastakaikua.
Vastavoimaksi Microsoftin suljetulle kaupalliselle koodille perustettiin vuonna 2001 Liberty Alliance -yhteenliittymä. Se julkaisi ensimmäisen version valmistajariippumattomasta Liberty Web Services -viitekehikosta vuonna 2003.
Kyse on federatiivisesta identiteetinhallinnasta, jossa kaupalliset toimijat luottavat liikekumppaniensa palveluihin syötettyihin kirjautumistietoihin käyttäjän siirtyessä palvelusta toiseen. Liberty Alliancen laajaan jäsenkuntaan kuuluukin niin kaupan, teollisuuden kuin rahoitusalankin yrityksiä.
Liberty Alliance luottaa vahvasti yleisiin standardeihin, ja yhteenlittymä on vaikuttanut vahvasti OASIS-järjestön työhön sen kehittäessä valtuustietojen välittämiseen tarkoitettua SAML-kieltä (Security Assertion Markup Language). Xml-pohjaisen SAMLin ensimmäinen versio julkaistiin vuonna 2002. Nykyinen versio 2.0 on vuodelta 2005.
Identiteetinhallinnan perusongelmana on tehtäväkentän suunnaton laajuus ja monimuotoisuus. Vaikeusastetta lisää rinnakkaisten, kilpailevien ja toisiaan täydentävien aloitteiden, hankkeiden ja tuotteiden suuri määrä.
Ison yrityksen työntekijöillä on tarve kirjautua yrityksen omiin tietojärjestelmiin eri työtehtävissä ja eri rooleissa. Muistettavien salasanojen ongelmaa on yritetty ratkoa kertakirjautumisperiaatteella aivan samoin kuin webin kuluttajapalveluissa.
Yrityksen henkilöstöhallinnon tarpeet poikkeavat suuresti vaikkapa kommentoijilta rekisteröintiä edellyttävän bloggaajan tarpeista. Keskitetyn hallintoelimen myöntämät identiteetit perustuvat vastakkaiseen ajattelutapaan kuin käyttäjien omatoimisen rekisteröitymisen tuloksena syntyvät. Tekniikoita voidaan kuitenkin yhdistää, ja itsepalvelu valtaa alaa myös yrityksissä.
Avointa luottamusta
Kevyimmän luokan käyttäjälähtöistä identiteetinhallintaa edustaa Openid (openid.net). Se on laajaa kannatusta saanut avoimen lähdekoodin hanke, jonka koodin voi liittää sivustolleen ilmaiseksi ja kohtalaisen helposti.
Järjestelmässä on kahdenlaisia osapuolia. OP (Openid Provider) eli identiteetin tarjoaja vahvistaa käyttäjän identiteetin RP:lle (Relying Party) eli luottavalle osapuolelle. Käyttäjä luo identiteettinsä erikseen kirjautumalla OP:n sivustolle, ja ilmoittaa RP:n sivustolle rekisteröityessään vain osoitteen, josta valmis identiteetti löytyy.
Web-sivusto voi ottaa käyttöön joko OP- tai RP-koodin tai molemmat. Esimerkiksi AOL:n, Bloggerin, Flickr:in tai Yahoon käyttäjät voivat halutessaan tehdä tunnuksistaan Openid-tunnuksen. Teknisesti edistyneempi käyttäjä voi liittää identiteettitietonsa vaikkapa osaksi omaa blogiaan.
Openid-käytäntö ei itsessään määrittele tietoturvatoimintoja. Esimerkiksi käyttäjän todentamiseen riittää, että käyttäjä tietää url-osoitteen ja sen käyttäjätunnus-salasanaparin, jos identiteetintarjoaja tällaista vaatii. Vahvan käyttäjätunnistuksen toteuttamiseksi markkinoille on tullut myös edistyneempiä tietoturvatoimintoja toteuttaneita Openid-tarjoajia, kuten Myopenid, Myvidoop ja Verisign. Käyttäjä voi myös luoda useita Openid-tunnuksia eri käyttötarkoituksia ja eri roolejaan varten.
Perusongelma on kuitenkin, että käyttäjän identiteettiä ei yleensä tarkisteta mitenkään. Tämän vuoksi moni tunnettu web-palvelu tarjoaakin Openid-tunnuksia, mutta ei uskalla luottaa muiden luomiin tunnuksiin. Luottavina osapuolina toimii kyllä tuhansia sivustoja, mutta ne ovat yleensä merkitykseltään ja kävijämäärältään vähäisiä.
Infokorteilla joustavammin
Käyttäjätunnistukseen saadaan lisää joustavuutta lisäämällä koodia käyttäjän tietokoneeseen. Erikseen annettavien url-osoitteiden sijasta identiteettitiedot voidaan säilyttää infokorteilla, joita käsitellään erillisellä identiteetinvalintasovelluksella tai selaimen lisäosalla. Käyttäjä voi valita kulloiseenkin tarkoitukseensa sopivan identiteetin, ja palvelut voivat lisätä tai pyytää lisättäväksi korteille tarvitsemiaan tietoja.
Infokorttitoteutuksista tunnetuimpia on Microsoftin Cardspace, jonka yhtiö toi Passport-palvelunsa seuraajana osaksi .NET-ympäristöä vuonna 2005. Windows Vistassa ja IE7:ssa toimivan ratkaisun vastapainoksi tarjolla on myös alustariippumattomia avoimen koodin hankkeita.
Novellin Digitalme on edelleen hengissä yhtiön sponsoroimassa Bandit-hankkeessa, ja IBM:n tukeman Eclipse-yhteisön piirissä on puolestaan käynnissä laaja Higgins-projekti. Microsoft ajaa itsekin tekniikan standardoimista ja toimii aktiivisesti OASIS-järjestön IMI-komiteassa (Identity Metasystem Interoperability).
Infokorttihankkeet ovat Openid:tä laajempia kokonaisuuksia, ja Openid:ssä nähdäänkin, että ne voivat täydentää muun muassa tietoturvaa. Infokorttitoteutusten keskinäistä ristiintoimivuutta samoin kuin yhteensopivuutta Openid:n kanssa on testattu OSIS-ryhmän (Open Source Identity Systems) piirissä vuodesta 2007.
Rekisteröintiä riittää vielä
Vuosikymmenen puurtamisesta huolimatta käyttäjät joutuvat yhä rekisteröitymään erikseen uusiin palveluihin. Sivustojen ylläpitäjät eivät yleensä ole kovin kiinnostuneita kirjautumisen helpottamisesta, ja yleinen epäluottamus jarruttaa tehokkaasti kertakirjautumisjärjestelmien käyttöönottoa.
Openid kannustaa käyttäjiä levittämään sanaa keskuudessaan ja vaatimaan palveluntarjoajilta tukea menettelylleen, ja infokorttien yleistyminen lisää käyttäjien tietoisuutta tarjolla olevista käytännöistä.
Viime kädessä netin kertakirjautumisen kehittyminen ja yleistyminen vaatii kuitenkin tiedostavia käyttäjiä ja vastuunsa tuntevia palveluntarjoajia. Kertakirjautuminen voi heikentää tietosuojaa, jos käyttäjältä hämärtyy se, miten ja missä laajuudessa hänen tietojaan käytetään. Uudelle sivustolle rekisteröityvä käyttäjä luovuttaa henkilökohtaisia tietojaan sivuston ylläpitäjälle vain, jos hänelle tarjotaan vastapalvelukseksi riittäviä hyötyjä. Avoin toiminta ja tiedotus vievät tätäkin asiaa parhaiten eteenpäin.
