Wizytówka zamiast paszportu

Przedstawiona przez Microsoft architektura Identity Metasystem i technologia InfoCard wydają się próbą marginalizacji istniejących systemów uwierzytelniania i standardu SAML.

Przedstawiona przez Microsoft architektura Identity Metasystem i technologia InfoCard wydają się próbą marginalizacji istniejących systemów uwierzytelniania i standardu SAML.

Microsoft opublikował wersje Beta 1 Release Candidate (RC) trzech technologii, które mają stanowić fundament platformy programistycznej przygotowywanej dla systemu Longhorn. Oprócz znanych już: Avalon - nowego podsystemu graficznego dla Windows oraz Indigo - nowego podsystemu komunikacyjnego, firma opublikowała wstępną wersję technologii InfoCard. Ta ostatnia technologia, na temat której Microsoft dotychczas milczał, jest elementem ogłoszonej równolegle architektury Identity Metasystem, stanowiącej ramy dla wielu różnorodnych systemów zarządzania tożsamościami użytkowników w sieci. Gdy Identity Metasystem i InfoCard przyjrzeć się bliżej, można dojść do ciekawych wniosków.

Chwycić jak najwyżej

Microsoft od dawna marzył o tym, by zaoferować uniwersalny system do zarządzania tożsamością w sieci. Pierwszą poważną próbą w tym kierunku była usługa Passport, która miała ułatwiać życie użytkownikom serwisów internetowych. Po uwierzytelnieniu w usłudze Passport użytkownik mógł bezpiecznie korzystać ze wszystkich serwisów, które współpracowały z serwisem Microsoftu.

Koncepcja systemu Passport nie spodobała się wielu użytkownikom, a zwłaszcza operatorom serwisów internetowych. Ci ostatni potraktowali Passport jako, po pierwsze, narzucenie im technologii, po drugie zaś, jako próbę odebrania kontroli nad ich biznesem, zasadzającym się właśnie na poprawnym uwierzytelnieniu. Brak istotnego zainteresowania integracją z serwisem Passport skłonił Microsoft do jego stopniowej marginalizacji, co nie oznacza, że firma zaprzestała interesować się ideą uniwersalnego uwierzytelnienia.

Gdy stało się jasne, że Web Services jako koncepcja i technologia znajdują przychylność branży, firma zaczęła promować otwarty protokół WS-Federation, jednak i w tym przypadku rynek podryfował w innym kierunku, a mianowicie ku wspieranej przez Liberty Alliance technologii SAML (Security Assertion Markup Language), obecnie w wersji 2.0. SAML to protokół dedykowany do bezpiecznego wymieniania między różnymi usługami informacji o fakcie uwierzytelnienia i uprawnieniach użytkownika, jednak bez centralnej kontroli czy koordynacji.

Identity Metasystem nie jest propozycją zaoferowania przez Microsoft korporacyjnego systemu zarządzania tożsamością, który tak jak inne analogiczne systemy oferowane przez CA, IBM, Novell, RSA i wielu innych, wymieniałby dane z pozostałymi za pośrednictwem otwartego protokołu SAML. To de facto funkcjonalna alternatywa dla SAML - tyle że stworzona od początku do końca przez Microsoft i kontrolowana przez niego.

Architektura Identity Metasystem - tak jak SAML - przewiduje możliwość wymiany danych o tożsamości pomiędzy różnymi systemami i w tym sensie jest otwarta. Jednak fakt, że Identity Metasystem będzie "ponad" systemami uwierzytelniania, w świecie otwartej komunikacji oznacza próbę powrotu do idei Passport - jedynie w innej formule technicznej, dostosowanej do nowych warunków i technologii. W tym świetle trudno się dziwić, że Microsoft długo zwlekał z ujawnieniem szczegółów dotyczących Identity Metasystem.

Desktop zawsze pomoże

Powstaje jednak pytanie, po co Microsoftowi technologia InfoCard? Według firmy ma to być sposób na zarządzanie przez użytkowników ich elektronicznymi tożsamościami. Zgodnie z założeniami InfoCard, użytkownik będzie dysponował bezpiecznym magazynem na dane służące do uwierzytelniania w różnych usługach działających w sieci, np. kartą z procesorem kryptograficznym.

Na karcie tej działać będą miniaplikacje zgodne z InfoCard, za pośrednictwem których użytkownik będzie dokonywać uwierzytelnienia i innych czynności.

InfoCard ma rozwiązać problem bezpiecznego uwierzytelniania użytkownika, ale równocześnie także jego kontroli nad własną prywatnością - ma pozwolić mu sprawować kontrolę nad tym, jakie informacje o sobie będzie udostępniać poszczególnym usługom.

Przykładowo, klient księgarni internetowej będzie mógł zezwolić InfoCard na przesłanie informacji na temat karty kredytowej oraz adresu, na który mają zostać przesłane zakupione książki. W innym przypadku może zezwolić na udostępnienie jedynie swojego adresu poczty elektronicznej.

InfoCard ma zapewniać współpracę z każdą aplikacją i usługą zgodną ze specyfikacjami WS-*. Takie zdefiniowanie kompatybilności wskazuje na prawdziwe motywy działania Microsoftu. Poprzez Identity Metasystem firma chce ustanowić "czapkę" nad istniejącymi systemami uwierzytelniania. Jednocześnie użytkownicy zostaną wyposażeni w aplikacje zgodne z InfoCard, a więc z WS-*. Będą więc "elegancko" uwierzytelniać użytkownika w dowolnym systemie, który będzie zgodny z Identity Metasystem (o co Microsoft na pewno zadba we własnym interesie).

W ten sposób dotychczasowe systemy uwierzytelniania de facto stracą znaczenie - staną się tylko jednym z elementów pośredniczących w uwierzytelnianiu kontrolowanym przez Microsoft - z jednej strony na desktopie, z drugiej zaś - w Internecie. A ponieważ to standardy WS-* będą wspierane przez aplikacje działające w firmach, wspieranie SAML będzie dla producentów aplikacji niepotrzebnym balastem, z którego - jak zapewne liczy Microsoft - wielu z nich zrezygnuje. W ten sposób SAML, jak wiele standardów w przeszłości, umrze śmiercią naturalną.

Uwierzytelnianie + DRM

Uzupełnieniem uniwersalnej architektury do zarządzania tożsamością, jaka ma powstać dzięki zgodności różnych aplikacji i systemów uwierzytelniania z Identity Metasystem, jest technologia do zarządzania prawami do informacji wbudowana w systemy Windows i aplikacje Office. Windows Rights Management System (Windows RMS) opiera się na zabezpieczaniu dostępu do treści, a nie do pliku, a ponadto wykorzystuje certyfikaty cyfrowe wymieniane w ramach architektury klucza publicznego (PKI), co zasadniczo podwyższa poprzeczkę, jeśli chodzi o trudność jego przełamania. O Windows RMS pisaliśmy szerzej w CW 21/2004.

Microsoft ogłosił, że technologie zarządzania prawami do informacji będą stanowić jeden z ważniejszych obszarów zmian, jakie firma zamierza wprowadzić do kolejnej wersji pakietu Office o kodowej nazwie Office 12, który ma trafić na rynek w drugiej połowie 2006 r. Na razie firma jest bardzo oszczędna w słowach, i tak naprawdę nie wiadomo, jak w praktyce będzie wyglądać ochrona dokumentów.

Wiadomo jedynie, że Microsoft chce z technologii Digital Rights Management (DRM) uczynić obowiązkową pozycję na liście zakupów wszystkich amerykańskich firm podlegających ustawie Sarbanes-Oxley.

Nieco światła na plany Microsoftu w dziedzinie DRM rzuca informacja podana przez Intela przy okazji premiery dwurdzeniowych procesorów Pentium D i towarzyszących im chipsetów z serii 945. Okazuje się, że Windows RMS (jak i inne technologie DRM) będą mogły korzystać ze wsparcia sprzętowego w chipsetach i procesorach Intela (firma na razie milczy na temat konkretów). Jeśli tak, to kontrola praw do informacji (oraz w ogóle wszelkich treści elektronicznych, w tym muzyki, wideo itd.) zostanie zwiększona. Będzie można przechować dokument, tak że do rozkodowania będzie potrzebne konkretne urządzenie PC lub jawnie nadane prawa dekodowania.

W wyniku wzmocnienia DRM poprawi się także bezpieczeństwo aplikacji Windows i choćby dlatego na dłuższą metę również inni producenci układów zgodnych z x86 będą musieli pójść w jego ślady, by uniknąć niewygodnych marketingowych dyskusji o tym, czy wspierają piratów i hakerów.

Dzięki jednoznacznej identyfikacji komputera mali producenci oprogramowania zyskają wreszcie prosty i efektywny sposób sprzedaży licencji "na komputer" i będą w miarę bezpieczni przed zakusami łamaczy zabezpieczeń. Producenci wszelkiego rodzaju kluczy sprzętowych mogą zacząć się martwić.

Kontrola tożsamości użytkownika bez względu na to, jaki system uwierzytelniania jest lokalnie wykorzystywany, jednoznaczne uwierzytelnienie komputera oraz bezsprzeczna identyfikacja komputera i kontrola bezpieczeństwa systemu i aplikacji (w połączeniu z kontrolą ich legalności, a jakże), a także potwierdzanie podpisem cyfrowym ważniejszych czynności w aplikacjach - oto jak wygląda bezpieczeństwa Microsoftu.

Dzięki niej wielkie korporacje kupią kolejne wersje, Windows i Office, a producenci treści nie będą bać się publikować filmów i muzyki w formatach proponowanych przez Microsoft.

W celu komercyjnej reprodukcji treści Computerworld należy zakupić licencję. Skontaktuj się z naszym partnerem, YGS Group, pod adresem [email protected]

TOP 200