OpenID – persönlicher Benutzername und Passwort für Alles

OpenID ist ein einfaches Verfahren mit dem Benutzer mit einem Benutzernamen und einem Passwort auf viele Websites zugreifen können. Der Benutzer meldet sich zuerst bei einem beliebigen OpenID Anbieter mit benutzername und Passwort an.  Er erhält dann eine OpenID in URL Form wie zum Beispiel:  http://benutzername.meinopenid.com .

Meldet man sich nun bei einer Site an, die OpenID unterstützt, wird ein Login Formular ähnlich  http://spielerkabine.net/login angezeigt.

OpenID Login

Dort gibt man nun seine persönliche OpenID anstatt wie üblich Benutzername und Passwort an. Danach wird man auf die Login Seite des gewählten OpenID Providers (hier im Beispiel Verisign) umgeleitet. 

OpenID Provider Login

Das sieht zunächst nicht nach einer großen Erleichterung aus, da man anstatt wie üblich Benutzername und Passwort auch noch den OpenID eingeben muss. Ist man jedoch bei seinem OpenID Provider bereits eingeloggt, tauschen das Zielsystem und das OpenID System die Login Anfrage/Bestätigung automatisch aus. Der Benutzer muss damit nur noch seine OpenID angeben, die man sich natürlich leicht merken kann und die man ähnlich wie die eMail Adresse auch nicht geheimhalten muss. Der OpenID ist dann nur noch durch das Passwort gesichert, was bei vielen Sicherheitsfans starke Bedenken auslöst. Manche OpenID Provider bieten deshalb eine zusätzliche Sicherheitsstufe an, bei der ein Zertifikat anstatt einem Passwort verwendet wird. Dieses Zertifikat kann auch ein sicheres Zertifikat auf einer Smartcard sein. Damit kommt man mit OpenID schon ziemlich meinem 2003 beschriebenen Wunschverfahren zur persönlichen Identifikation nahe.  

Natürlich muss man sich auch bei Verwendung des OpenIDs registrieren, wenn man zum ersten Mal auf eine personalisierte, geschützte Site zugreift. Die Registrierung wird aber dadurch erleichtert, dass die im OpenID gespeicherten Profildaten mit einem Klick in die neue Site übernommen werden können.   

Für Service Anbieter ist es äusserst interessant die OpenID Funktionalität anzubieten, da ja die Benutzer sich zunächst immer auf ihrer OpenID Site einloggen müssen. Deshalb bieten Firmen wie Google, IBM, Microsoft, Yahoo, Technorati oder auch WordPress OpenIDs an. Man kann zum Beispiel  den Benutzernamen und das Passwort von WordPress (das man z.B. für seinen Blog verwendet) auch als OpenID z.B. ähnlich http://myname.wordpress.com  verwenden. Der Teufel steckt aber wie immer im Detail. OpenID ist zwar „standardardisiert“ aber trotzdem können die Implementierungen von Zielsite und OpenID Site inkompatibel sein. Nach meiner Erfahrung funktionieren Verisign OpenIds im Format http://myname.pip.verisignlabs.com recht gut, da die meisten Programmierer auch mit diesen OpenIDs testen.

Eine wesentliche Erleichterung verspricht OpenID bei mobilen Anwendungen. Man muss dann am Handy nur einmal Benutzername und Passwort eingeben!

Hat man nun einen OpenID so ist es nicht ganz einfach, Sites zu finden, die OpenID auch unterstützen. Alle möchten halt OpenID Chef und nicht OpenID Diener sein. Die Basissicherheit bei OpenIDs beruht bei den üblichen Registrierungsmethoden auf der eMail Adresse und sind damit nicht sicherer als bei üblichen Verfahren mit Benutzername und Passwort. Insgesamt ist die Frage Sicherheit komplexer, da man eine mehrgliedrige Sicherheitskette benutzt, die ja immer so stark wie das schwächste Glied ist. Deshalb sollte man zur Zeit OpenID bei Sites, wo es um Geld oder  Bestellungen geht, nicht verwenden. Bei den vielen „social“ Diensten kann OpenID das Leben im Web aber wesentlich erleichtern.   

Kommentare wieder erlaubt

Trage deine Daten unten ein oder klicke ein Icon um dich einzuloggen:

WordPress.com-Logo

Du kommentierst mit Deinem WordPress.com-Konto. Abmelden / Ändern )

Twitter-Bild

Du kommentierst mit Deinem Twitter-Konto. Abmelden / Ändern )

Facebook-Foto

Du kommentierst mit Deinem Facebook-Konto. Abmelden / Ändern )

Google+ Foto

Du kommentierst mit Deinem Google+-Konto. Abmelden / Ändern )

Verbinde mit %s