Erstellen eines datenschutzfreundlichen Anmeldesystems
TL;DR:
Die IOTA Foundation veranstaltet eine Ausschreibung zur Entwicklung einer „Login mit IOTA„-Lösung auf der Grundlage des IOTA Identity Frameworks. Ausgewählte Parteien werden durch den Ecosystem Development Fund (EDF) finanziert, um diese Lösung unter Verwendung von Standards der OpenID Foundation zu entwickeln.
[donation]
Die IOTA Foundation hat heute eine Ausschreibung für ein IOTA-basiertes Anmeldesystem, das auf OpenID-Standards aufbaut, veröffentlicht. Die Ausschreibung lädt Entwickler oder Unternehmen ein, sich um eine Finanzierung zu bewerben, um Lösungen zu entwickeln, die IOTA Identity mit den OpenID Foundation Standards OpenID Connect (OIDC) und Self-Issued OpenId Provider (SIOP) kombinieren. Wenn sie ausgewählt werden, werden die Entwickler oder Unternehmen während des Designs und der Entwicklung der Open-Source-Komponenten finanziert.
Die vorgeschlagene Technologie wird es Websites ermöglichen, die dezentralen Identifikatoren (DIDs) der Nutzer als Identifizierungs- und Authentifizierungsmechanismus zu akzeptieren. Mithilfe von OIDC können Websites neben weniger datenschutzfreundlichen Alternativen wie Google, Microsoft und Facebook den Hinweis „Login mit IOTA“ hinzufügen. Mehr als 50.000 Websites nutzen dieses System bereits mit über einer Milliarde OpenID-aktivierter Konten. Darüber hinaus ermöglicht SIOP Websites, mit etwas zusätzlichem Aufwand jede zentralisierte Login-Infrastruktur zu überspringen, indem sich die Nutzer direkt bei der Website auf Peer-to-Peer-Basis authentifizieren können.
Wir starten die Ausschreibung, um andere Entwickler oder Unternehmen zu ermutigen, sich an der Entwicklung von IOTA-Identitätswerkzeugen zu beteiligen. Die Bewerber werden gebeten, einen Plan, ein Budget und andere Informationen vorzulegen. Am Ende des Prozesses kann die IOTA Foundation ein oder mehrere Projekte finanzieren, um ihren Plan gegen eine Entschädigung auszuführen. Diese Entschädigung wird in Form von IOTA-Tokens aus dem Ecosystem Development Fund (EDF) ausgezahlt. Vorhandene Kenntnisse über IOTA oder IOTA Identity sind von Vorteil, aber nicht erforderlich. Wir erwarten jedoch Erfahrung mit dem Thema OIDC.
Warum wollen oder brauchen wir ein „Login mit IOTA“-System?
Mit dem Aufkommen des elektronischen Geschäftsverkehrs, gefolgt von Web 2.0, wandelte sich das Web von einer Sammlung von Seiten mit statischem Inhalt zu einem Ort, an dem Menschen mit Unternehmen, Organisationen und untereinander interagieren. Hand in Hand mit dieser Entwicklung wuchs der Bedarf an Online-Authentifizierung, was viele Websites dazu veranlasste, eine Kombination aus Benutzernamen und Kennwörtern zu verwenden, um lokale Konten für Benutzer zu erstellen. Während dieses Vertrauen auf „etwas, das man kennt“ (d. h. die Passwörter) anfangs ausreichenden Schutz bot, wurden Websites, die diese Informationen speichern, zu anfälligen Zielen für Angriffe wie Identitätsdiebstahl. Um kryptografische Angriffe zu bekämpfen, wurden Komplexitätsanforderungen eingeführt, die dazu führten, dass Passwörter auf verschiedenen Websites wiederverwendet wurden, was die Sicherheit von Benutzern und Websites tatsächlich schwächte. Diese und andere Entwicklungen führten zu einer zunehmenden Belastung der Websites bei der Sicherung der Nutzerdaten und ihrer Infrastruktur und schufen eine sehr schlechte Nutzererfahrung und eine oft unsichere Umgebung.
Mit der Zeit verbesserte sich die Benutzerfreundlichkeit auf Kosten des Datenschutzes. Die Benutzerkonten wurden zentral über föderierte Identitätsanbieter wie Google oder Facebook registriert, was es den Anbietern ermöglichte, Informationen mit Websites auszutauschen (mit Zustimmung der Benutzer), ohne dass die Informationen wiederholt eingegeben werden mussten. Leider verschaffte diese Lösung den großen Technologieunternehmen auch noch mehr Kontrolle über die Nutzerdaten, da es für die Identitätsanbieter relativ einfach wurde, die Nutzeraktivitäten im Web zu überwachen, wenn die Nutzer auf von den Anbietern verwaltete Konten zugriffen.
IOTA Identity wird es den Menschen ermöglichen, die Kontrolle über ihre Daten zurückzuerlangen, während gleichzeitig die Websites um nützliche Funktionen und Erfahrungen erweitert werden. Unser Ziel ist es, eine Win-Win-Situation zu schaffen, in der sowohl Websites als auch Nutzer von einem IOTA-Identitäts-basierten Anmeldesystem profitieren und gleichzeitig die Macht von zentralisierten Identitätsanbietern genommen wird.
Wie funktioniert das?
Bei einer IOTA-basierten Anmeldung wird eine zufällige Zeichenfolge (z. B. „did:iota:9rK6DPF46MCEzgfLD8AHFsaTuMqvmRo6kbXfjqQJPJmC“) zu Ihrem dezentralen Identifikator (DID). Sie können den Besitz Ihrer Kennung durch asymmetrische Verschlüsselung nachweisen („etwas, das Sie haben“). Praktischerweise müssen Sie sich Ihre DID nicht merken: Ihre Self-Sovereign Identity (SSI) Wallet verwaltet diese für Sie. Websites können die DID intern nutzen, um Sie zu erkennen, ohne dass Sie einen Benutzernamen oder eine E-Mail-Adresse kennen müssen. Sie können immer noch Ihre persönlichen Daten abfragen (z. B. einen Anzeigenamen oder eine E-Mail-Adresse), aber es ist Ihre Entscheidung, diese Informationen weiterzugeben. Die Website muss nachweisen, dass sie diese Informationen von Ihnen benötigt, und erklären, was Sie im Gegenzug erhalten.
Das geplante System, das Ihnen die selektive Weitergabe Ihrer E-Mail-Adresse ermöglicht, erlaubt Ihnen auch die Weitergabe anderer Informationen, die Sie normalerweise wiederholt angeben müssten, wie Ihre Adresse, Telefonnummer oder Ihr Geburtsdatum. Der Unterschied besteht darin, dass Sie diese Informationen nur einmal in Ihre SSI-Brieftasche eingeben müssen, was den Besuch von Websites, die diese Technologie ermöglichen, wesentlich reibungsloser gestaltet, genau wie bei zentralen Anbietern. Aber in diesem Fall behalten Sie die volle Kontrolle über die Daten. Darüber hinaus können Sie mit dem VC-Mechanismus (Verifiable Credentials) nachprüfbare Informationen weitergeben.
Mit VCs können Sie nicht nur Informationen austauschen, sondern auch deren Gültigkeit nachweisen. Die Informationen, die Sie weitergeben, müssten von einer vertrauenswürdigen dritten Partei wie einer Regierungsbehörde oder einer Bank unterzeichnet werden, aber Sie entscheiden, mit wem Sie diese Informationen teilen.
Die Möglichkeit, sich auf vertrauenswürdige Informationen zu stützen, verringert das Risiko für Websites, insbesondere im elektronischen Geschäftsverkehr.
Beispiele für geprüfte Informationen könnten sein:
- Bestätigte Altersspanne, unterzeichnet von Ihrer Regierung
- Nachweis des Wohnsitzes, unterzeichnet von Ihrem Stromanbieter
- Von Ihrer Bank unterzeichneter Geldnachweis
- Überprüfte Telefonnummer oder E-Mail-Adresse
- Ein von Ihrer Universität unterzeichnetes Diplom oder Zeugnis
Web 2.0 Login
In der Ausschreibung regt die IOTA Foundation die Entwicklung von zwei separaten Anmeldesystemen an: OIDC und SIOP. OIDC, das wir als „Web2“-Anmeldesystem bezeichnet haben, ist das, was die meisten Menschen regelmäßig benutzen. Schaltflächen wie „Login mit X“ wenden sich an den zentral gehosteten Identitätsanbieter, um Ihre Informationen an eine Website zu übermitteln.
IOTA Identity würde es uns ermöglichen, denselben Ablauf zu imitieren, so dass Websites dieselbe Implementierung und Technologie wiederverwenden können, die sie bereits nutzen, und gleichzeitig den Datenschutz massiv verbessern. Die in der Ausschreibung skizzierte Architektur bedeutet, dass der zentralisierte Identitätsanbieter nicht die volle Sichtbarkeit und den Zugang zu persönlichen Daten hat, sondern als „blinder Teilnehmer“ fungiert und eine Verbindung zwischen dem Nutzer und der Website gemäß den OIDC-Standards herstellt. Damit wäre es in Zukunft nicht mehr notwendig, dass die Identitätsanbieter Ihre Daten speichern. Stattdessen werden sie die Datenanfragen an den Nutzer zurücksenden, wo die SSI-Brieftasche die Daten speichert und weitergibt, so dass Sie die volle Kontrolle haben. Dies wäre der perfekte blinde Teilnehmer, erfordert aber entweder eine vom Nutzer gehostete Datenbank, die immer online ist, oder dass die Daten nur verfügbar sind, wenn der Nutzer online ist. Während eine „Online-Nutzer“-Anforderung für einige Anwendungsfälle in Ordnung ist, könnte sie andere einschränken, weshalb wir davon ausgehen, dass der Identitätsanbieter zu Beginn nicht vollkommen blind sein kann.
Ein Proof of Concept für ein Web2-Login wurde bereits von Daniel Mader entwickelt, einem aktiven Mitarbeiter des IOTA Identity X-Teams. Mit Hilfe von Keycloak und einer selbstgebauten Erweiterung hat Daniel gezeigt, wie eine Website eine DID zur Authentifizierung akzeptieren kann, ohne dass zusätzliche Änderungen an ihren internen Systemen erforderlich sind. Daniels erstaunliche Arbeit wurde als Open-Source auf GitHub veröffentlicht und er hat eine detaillierte Erklärung und Demonstration seines PoCs in einem Identity X-Team Meeting gegeben:
Web3-Anmeldung
Das zweite Anmeldesystem, das wir suchen, ist auf Web3 ausgerichtet. Self-Issued OpenID Provider (SIOP) ist ein neuer Standard, der von der OpenID Foundation entwickelt wird und das oben beschriebene Anmeldesystem mit noch mehr Datenschutz verbessern wird. Wir haben dieses System als „Web3“-Anmeldesystem bezeichnet und es befindet sich noch in der Entwicklung. Dieser Standard ermöglicht eine ähnliche Benutzererfahrung wie das „Web2“-Login, jedoch ohne die Notwendigkeit eines zentralen Identitätsanbieters.
SIOP ermöglicht es den Benutzern, sich direkt bei der Website zu authentifizieren, ohne mit einer zentralisierten Komponente kommunizieren zu müssen. Anschließend ermöglicht die SSI-Brieftasche den Austausch von VCs und die Bereitstellung zusätzlicher Informationen, die normalerweise vom Identitätsanbieter angefordert werden würden. Diese Lösung ist zwar in Bezug auf den Schutz der Privatsphäre überlegen, erfordert aber auch Integrationsbemühungen seitens der Website, was die unmittelbare Massenanwendung der Technologie derzeit wahrscheinlich behindert. Um mittel- und langfristig Lösungen anbieten zu können, ist die IOTA Foundation daher an gleichzeitigen Web2- und Web3-Lösungen interessiert.
Wie man an der RFP teilnimmt
Jede Person oder jedes Unternehmen kann sich an der Ausschreibung beteiligen. Die Ausschreibung kann ab heute bis zum 1. April 2022 eingereicht werden. Bitte lesen Sie die Ausschreibung sorgfältig durch und senden Sie eine gültige Antwort mit allen geforderten Informationen an die in der Ausschreibung angegebenen E-Mail-Adressen. Wenn Sie Fragen haben, können Sie Jelle Millenaar über Jelle.millenaar@iota.org oder auf discord.iota.org im Kanal #Identity erreichen.
Stellen Sie sicher, dass Ihre Bewerbung eine Beschreibung Ihrer Person, Ihrer Erfahrungen mit IOTA und/oder OIDC und Ihres Plans für die Entwicklung von Open-Source-Tools enthält, um entweder ein Web2- und/oder Web3-basiertes Login-System mit IOTA Identity zu ermöglichen. Bitte leiten Sie diese Ausschreibung auch an jeden weiter, der über das nötige Fachwissen verfügt, um eine Lösung anzubieten, sei es im SSI-, DLT- oder OIDC-Ökosystem.
Über die IOTA Foundation
Die IOTA Foundation ist eine globale, gemeinnützige Stiftung, die dezentrale Technologien der nächsten Generation für eine neue digitale Wirtschaft in einer vernetzten Welt entwickelt. Sie gestaltet die Art und Weise neu, wie sich Menschen und Geräte miteinander verbinden, um Informationen und Werte zu teilen und Zwischenhändler auszuschalten. Die Stiftung arbeitet mit einem globalen Ökosystem und Partnern zusammen, um Technologien zu erforschen und zu entwickeln, die nachhaltige, reale Auswirkungen haben. Gemeinsam gestalten sie eine neue digitale Wirtschaft, beseitigen unnötige Reibungsverluste und setzen das menschliche Potenzial frei.
Im Mittelpunkt der Mission der Stiftung steht Tangle, ihr offenes, gebührenfreies und hoch skalierbares Distributed Ledger. Tangle wurde entwickelt, um einen reibungslosen Werte- und Datentransfer zu unterstützen, und ist eine DLT-Infrastruktur für Web3-Anwendungen und digitale Wirtschaftssysteme. Im Gegensatz zu Blockchain-Alternativen ermöglicht Tangle das parallele Hinzufügen von Transaktionen und zeichnet sich durch einen geringen Ressourcenbedarf sowie durch gebührenfreie und schnelle Transaktionen aus, die innerhalb von Sekunden abgeschlossen sind. Der IOTA-Token ist die native Währung im IOTA-Netzwerk. Er wird für die Übertragung von Werten und Daten verwendet und ermöglicht gebührenfreie Mikrozahlungen.
Original by IOTA Foundation: https://blog.iota.org/request-for-proposals-login-with-iota/
Schreibe einen Kommentar