OpenID

aus Wikipedia, der freien Enzyklopädie
Wechseln zu: Navigation, Suche
OpenID
OpenID logo.svg
Aktuelle Version 2.0[1]
(5. Dezember 2007)
Betriebssystem beliebig (webbasiert)
Lizenz kostenlos nutzbar
openid.net

OpenID (englisch für offene Identifikation) ist ein dezentrales Authentifizierungssystem für webbasierte Dienste. Es erlaubt einem Benutzer, der sich bei seinem sogenannten OpenID-Provider einmal mit Benutzername und Kennwort angemeldet hat, sich nur mit Hilfe der sogenannten OpenID (einer URL, in diesem Kontext auch Identifier genannt) ohne Benutzername und Passwort bei allen das System unterstützenden Websites, den sog. Relying Parties, anzumelden.

OpenID ist dezentral angelegt und setzt das Konzept der URL-basierten Identität um. Insofern ist es vergleichbar mit dem Liberty Alliance Project, ist vom System her jedoch weit weniger komplex. Gewährleistet durch die Dezentralisierung, kann jeder OpenID-Provider werden und einen OpenID-Server betreiben.

Benutzung[Bearbeiten]

Grundprinzip[Bearbeiten]

Für die Anmeldung mit OpenID wird eine OpenID-Identität benötigt. Eine solche Identität wird durch einen OpenID-Anbieter bereitgestellt. Auf Grund der dezentralen Architektur von OpenID gibt es viele verschiedene OpenID-Anbieter. Da das Protokoll offengelegt ist,[2] existieren Implementierungen in vielen Programmiersprachen. Die ausschließlich unter Open-Source-Lizenzen gestellte Software kann auf einem eigenen Server installiert werden. Somit ist es jedem mit relativ geringem Aufwand möglich, selbst zum OpenID-Anbieter zu werden. Viele Webseiten bieten aufgrund dieses Umstandes zu ihren Benutzerkonten zusätzlich je eine (oder mehrere) OpenID-Identität(en) an.

Eine OpenID hat die Form einer URL. Üblicherweise ist der Benutzername eine Subdomain des OpenID-Anbieters: benutzername.example.com. Einige Anbieter verwenden auch den Benutzernamen als Pfad in der URL: example.com/benutzername. Um mit seiner OpenID von einem spezifischen Anbieter unabhängig zu sein, empfiehlt es sich nach Möglichkeit eine eigene URL auf eigenem Webspace als OpenID zu verwenden. Dieses Vorgehen wird als Delegation bezeichnet.

Webseiten, die OpenID als Anmeldeverfahren unterstützen, können ergänzend zur OpenID-Anmeldung weiterhin eine klassische Anmeldung (Benutzername mit zugehörigem Passwort) anbieten, oder auf die klassische Anmeldung verzichten. In letzterem Fall müssen keine Funktionen wie „Passwort vergessen“ implementiert werden, weiterhin entfällt auf Seiten des Webseitenbetreibers durch die nicht mehr zu speichernden Benutzernamen und Passwörter der dafür nötige Sicherheitsaufwand. Dieser Aufwand verlagert sich auf den OpenID-Anbieter, ist somit ebenfalls dezentralisiert.

Details zur Nutzung[Bearbeiten]

Eine OpenID kann bereits bei der Registrierung eines neuen Benutzerkontos bei einer Webseite angegeben werden, die die Anmeldung mit OpenID unterstützt. Dabei kann der Webseitenbetreiber mit der sogenannten OpenID Simple Registration neun[3] grundlegende Informationen vom OpenID-Anbieter erhalten (wenn der OpenID-Benutzer diesem Prozess zustimmt und die entsprechenden Informationen zuvor beim OpenID-Anbieter hinterlegt hat). Somit ist es nicht mehr zwingend erforderlich, bei jeder OpenID-fähigen Webseite im Rahmen der Registrierung etwa seine E-Mail-Adresse und seinen Namen anzugeben. Nicht immer werden von Webseitenbetreibern alle neun[3] möglichen Informationen auch tatsächlich verwendet. Der Nachteil einer ausschließlichen OpenID-Nutzung besteht im Gegenzug darin, dass klassische Elemente wie Benutzernamen häufig nicht verwendet werden können, so dass eine vollständige Registrierung vorgezogen wird.

Bei einem vorhandenen „klassischen“ Benutzerkonto einer OpenID-fähigen Webseite ist es meist möglich, eine oder mehrere OpenID(s) auch nachträglich anzugeben, oder sie später zu entfernen. Sobald eine OpenID erfolgreich mit dem Benutzerkonto verbunden wurde, kann diese anstelle der üblichen Anmeldung mit Benutzername und Passwort verwendet werden.

Für das OpenID-Anmeldeverfahren wird der Benutzer auf die Anmeldeseite des OpenID-Anbieters geleitet, wo die dortige Anmeldung erfolgt. Aus Sicherheitsgründen erscheint eine weitere, auf die anfragende Webseite hinweisende, Seite, die bestätigt werden muss. Wenn die Webseite, für die die Anmeldung erforderlich ist, vom Benutzer als vertrauenswürdig gekennzeichnet wurde, kann die Bestätigungsseite bei einigen OpenID-Anbietern deaktiviert werden, sodass sie bei weiteren OpenID-Anmeldungen nicht mehr angezeigt wird. Nach der Anmeldungsbestätigung beim OpenID-Anbieter wird der Benutzer im angemeldeten Zustand auf die eigentliche Website zurückgeleitet. Der Anmeldedatenaustausch kann dermaßen stattfinden, dass die Webseite bis zu neun Informationen des verbundenen OpenID-Kontos bei jeder Anmeldung erhält und somit immer auf dem neuesten Stand ist. Der Benutzer muss diese Grundinformationen also nur noch beim OpenID-Anbieter pflegen. Der Benutzer kann auch dauerhaft seine Zustimmung zur Datenübertragung an die Webseite geben, und muss diese dann nicht mehr bei jeder Anmeldung angeben.

Teilweise haben OpenID-Anbieter und OpenID-fähige Webseitenbetreiber zusätzlich zur Simple Registration auch das neuere OpenID-Attribute-Exchange-Protokoll zum erweiterten Datenaustausch implementiert. Dann werden die Daten übertragen, die von jeweils beiden unterstützt werden. Auch hier gilt, dass der Benutzer die volle Kontrolle über seine Daten und deren Weitergabe hat.

Entwicklung[Bearbeiten]

Das zugrundeliegende Protokoll wurde 2005 von Brad Fitzpatrick, dem Gründer von LiveJournal, entwickelt. Mittlerweile wird OpenID neben Fitzpatrick von SixApart Ltd. auch von dem zu VeriSign gewechselten David Recordon weiterentwickelt und meist zusammen mit Yadis oder XRIs verwendet.

Im Juni 2007 wurde in den USA die OpenID Foundation gegründet, deren Aufgabe die Verwaltung von Urheber- und Markenrechten sowie das Marketing ist. Das Ziel ist die Förderung der Verbreitung und der Schutz von OpenID. Im gleichen Monat wurde in Belgien die OpenID Europe Foundation gegründet, die selbiges Vorhaben in Europa betreibt.

Im Dezember 2007 wurde die Spezifikation OpenID 2.0 verabschiedet, die sowohl von einigen Anbietern als auch nutzenden Seiten (z.B. Yahoo!) mittlerweile exklusiv unterstützt wird. Bis jede Seite OpenID 2.0 unterstützt, kann daher nicht jede OpenID überall verwendet werden.

Vergleichbare Systeme, die bei höherer Komplexität mehr Funktionen bieten, sind die auf der Security Assertion Markup Language (SAML) aufbauenden Projekte Shibboleth, Liberty und CardSpace.

Die OpenID Foundation will mit dem Account Chooser den OpenID-Standarddienst ergänzen.[4] Der Account Chooser soll vor allem einfacher zu bedienen sein.

Verbreitung[Bearbeiten]

Neben unzähligen kleinen Blogs und Webportalen haben Branchenriesen den Standard implementiert und sorgen für eine weite Verbreitung. Yahoo hat eine Unterstützung realisiert, andere Firmen wie Google, IBM, Microsoft, Myspace, PayPal und VeriSign stehen ebenfalls hinter dem Standard und haben ihn teilweise bereits im Einsatz. Somit steigt die Zahl der aktiven Konten auf 368 Millionen (Stand: Januar 2008).[5][6] Die Nutzungsmöglichkeiten dieser Konten sind zum heutigen Zeitpunkt noch eingeschränkt, da diese Anbieter ihren Nutzern zwar OpenID-URLs zuweisen, jedoch keine fremden Accounts zum Login auf ihren Seiten erlauben.

Facebook verkündete jedoch im April 2009 die vollständige Implementierung von OpenID.[7] Mittlerweile ist es Facebook-Nutzern möglich, sich auch mit den OpenIDs beliebiger Provider zu authentifizieren. Damit steigt die potentielle Nutzerschaft von OpenID auf mindestens 1,23 Milliarden[8].

Google integrierte OpenID bislang lediglich für Yahoo-Kunden. Bei der Erstanmeldung wird damit keine Mail mehr verschickt, sondern es erfolgt eine Weiterleitung an den OpenID-Dienst von Yahoo.

Laut dem deutschen Bundesamt für Sicherheit in der Informationstechnik akzeptierten im dritten Quartal 2009 ca. 50.000 Websites OpenID.[9]

Kritik[Bearbeiten]

Die Technologie von OpenID ist gegenüber Phishing-Attacken anfällig. Grund dafür ist die Tatsache, dass eine Weiterleitung auf die Seite des OpenID-Providers nötig ist. Als Betreiber einer Seite, die OpenID zur Anmeldung benutzt, kann man auf einfache Weise eine Weiterleitung auf eine Seite erstellen, die der Providerseite gleicht, jedoch als Proxy dient und Benutzername und Passwort an den Betreiber weiterleitet.

Für den Nutzer ist es jedoch durch die OpenID-Architektur einfacher, eine Login-Seite auf Echtheit zu überprüfen, da er sich die sicherheitsrelevanten Merkmale nur einer einzigen Login-Seite merken muss, statt von mehreren, wie es ohne Single Sign-on der Fall ist. Die OpenID-Provider sorgen ebenfalls für mehr Sicherheit, indem sie etwa Cookies setzen, ein individuelles Bild zeigen, den HTTP-Referer mit der IP des Requesters vergleichen oder indem sie ein clientseitiges TLS-Zertifikat zur Authentifizierung nutzen. Insbesondere letzteres wird von immer mehr Providern unterstützt.

Siehe auch[Bearbeiten]

Weblinks[Bearbeiten]

OpenID allgemein[Bearbeiten]

Spezialisierte OpenID-Anbieter[Bearbeiten]

  • clavid.ch – Unabhängiger Schweizer OpenID-Provider, welcher verschiedene Authentifizierungs-Methoden wie Benutzername/Passwort, Browser-Zertifikat, OneTime-Passwörter, SuisseID und den Axsionics InternetPassport (biometrisch) unterstützt
  • CloudID – Deutscher OpenID-Provider mit VCard und QR-Codeunterstützung
  • idproxy.net – sich mit dem Yahoo-Account bei idproxy.net einloggen und dort ein oder mehrere OpenID-Accounts erstellen
  • myON-ID – ehemaliges deutsches Reputationsnetzwerk und OpenID-Provider, wurde zum 30. Juni 2012 eingestellt
  • MyOpenID – unterstützte den Login per Browser-Zertifikat oder über Windows CardSpace, wurde zum 1. Februar 2014 eingestellt
  • OpenID.ORG – Britischer OpenID-Provider
  • my.xlogon.net – Deutscher OpenID-Provider, multiple Identitäten, multiple Personas, nur SSL-gesichert, Anti-Phishing-Unterstützung
  • VeriSign Personal Identity Provider[10]
  • LogIn with PayPal Internationaler OpenID-Provider, welcher verschiedene Authentifizierungs-Methoden wie Benutzername/Passwort nutzt sowie die Möglichkeit die OpenID in Shopsysteme und Zahlsysteme sowohl online als auch offline zu integrieren. Damit wird eine sehr einfache und schnelle Anbindung der OpenID in Kombination mit einer Zahlmethode angeboten.

Einzelnachweise[Bearbeiten]

  1. OpenID: Zugangsdaten zentral und sicher im Web ablegen. Abgerufen am 21. Juli 2011.
  2. openid.net – Spezifikation (englisch)
  3. a b OpenID Simple Registration 4. Response Format mit neun Parametern: nickname (Spitzname), email (E-Mail-Adresse), fullname (Bürgerlicher Name), dob (date of birth; Geburtsdatum), gender (Geschlecht), postcode (Postleitzahl), country (Land), language (Sprache), timezone (Zeitzone)
  4. OpenID Foundation unternimmt neuen Anlauf. Abgerufen am 18. September 2011.
  5. Golem.de – Yahoo wird OpenID-fähig
  6. TechCrunch – OpenID Welcomes Microsoft, Google, Verisign and IBM (englisch)
  7. insidefacebook.comFacebook kündigt Unterstützung für OpenID an
  8. Facebook knackt den Wachstumscode. In: Frankfurter Allgemeine Zeitung. 30. Januar 2014, abgerufen am 29. April 2014 (deutsch).
  9. Lagebericht – 3. Quartal 2009. Bundesamt für Sicherheit in der Informationstechnik, 2009, S. 10, abgerufen am 17. Januar 2011 (PDF).
  10. Dieser Service ist komfortabel aber möglicherweise unzuverlässig, denn er war – zumindest Anfang Februar 2011 – mehrfach über mehrere Stunden nicht verfügbar. Der Server zeigte eine „Service temporary unavailable“ Nachricht.