Da ich mich zur Zeit vermehrt um Identitätsmanagement im Web und im speziellen mit OpenID und Information cards/Cardspace beschäftige, möchte ich die Gelegenheit nutzen, eine Artikelserie ins Leben zu rufen, die sich erst einmal mit OpenID beschäftigt.
1. Was ist OpenID?
OpenID ist ein dezentrales Single-Sign-On-System (SSO). Man meldet sich nicht direkt bei dem Dienst an, den man nutzen möchte, sondern wird von seinem OpenID-Provider authentifiziert.
Bei seinem Provider hat man Daten wie Name, Nickname, E-Mail-Adresse und so weiter hinterlassen, so dass man nicht mehr gezwungen ist, diese dem Dienst bei einer Registrierung erneut mitzuteilen. Eine Steuerung, welche Daten bei der Registrierung übermittelt werden, ist zusätzlich möglich. Man möchte ja nicht jedem Betreiber sein Geschlecht oder Geburtsdatum offenbaren. Bei manchen OpenID-Providern ist es zusätzlich möglich in einem OpenID-Account mehrere Identitäten zusammen zu fassen. Dadurch kann man zum Beispiel die selbe OpenID verwenden, um den anfragenden Dienst entweder private, geschäftliche oder halbwegs anonyme Daten zu übermitteln.
Bei der Anmeldung an einen Dienst per OpenID gibt man lediglich seine Kennung an. Der Dienst leitet einen an seinen OpenID-Provider weiter, bei dem (wenn noch nicht erfolgt) die eigentliche Anmeldung mittels Usernamen und Kennwort erfolgt. Nach erfolgreicher Anmeldung wird man zum ursprünglichen Dienst weitergeleitet und ist angemeldet.
2. Warum OpenID?
Ein Grund wäre manische Faulheit. Persönlich habe ich nur eine Handvoll unterschiedliche Passwörter, die ich mir merken kann/möchte. Zwar benutze ich auch Passwortmanager wie KeePass/KeePassX, in dem ich aber eher Passwörter von Kunden verwalte. Zum Bewegen in Foren und Portalen selber benutze ich fast immer dieselben Passwörter, die sich aber (das muss ich zu meiner Verteidigung noch anmerken) von Passwörtern für Mail, FTP und so weiter unterscheiden. Ich nehme jetzt einfach mal dreist an, dass dieses Verhaltensmuster auf 90 Prozent aller Webbenutzer passt.
Mit OpenID pflegt man nur eine Identität, dessen Daten man aber selektiv übertragen lassen kann. Man ist also quasi immer Herr seiner Daten. Desweiteren benötigt man nur noch das Passwort für seinen OpenID-Provider. Hier liegt meiner Meinung nach auch die größte Gefahr von OpenID, auf die ich aber in einem folgenden Artikel zu sprechen komme.
Ein Vorteil von OpenID als Verwalter seiner Identitäten ist, dass zwischen OpenID-Provider und dem Dienst, an dem man sich anmelden möchte, selber keine Passwortdaten ausgetauscht werden. Man meldet sich nur bei seinem OpenID-Provider an und dieser teilt dann dem anfragenden Diensten mit, ob ich authentifiziert bin oder nicht.
3. Wie bekomme ich eine OpenID?
OpenID-Provider gibt es mittlerweile mehr als genug. Yahoo bietet seit mehreren Wochen an, Accounts zusätzlich mit einer OpenID auszustatten, unterstützt aber nur die OpenID 2.0-Spezifikation. Bisher bieten aber nur wenige Seiten die Anmeldung mit der zweiten Version von OpenID an. Hier ist man also besser dran, sich an Anbieter wie myOpenID oder Verisign PIP zu halten. Eine etwas größere Liste findet man hier.
Ähnliche Artikel: